Databricks Genie 被曝“投毒式”钓鱼：恶意 Skill 把聊天窗口变成数据外泄通道

安全研究机构 PromptArmor 近期披露，Databricks 的自然语言助手 Genie Code 存在被“投毒”利用的风险：恶意构造的 Skill 可以把聊天窗口变成数据外泄通道，在用户毫无察觉的情况下回传敏感数据。

事件背景

随着 AI 编码助手、企业知识助手大规模进入工作流，其“可调用工具、可读取上下文、可与浏览器交互”的能力，也使其成为攻击者的高价值目标。所谓“Skill”，是一类可插拔的能力扩展包，本意是增强助手功能，却也可能成为供应链攻击载体。

核心内容

• 攻击路径：恶意 Skill 把数据写入聊天里的 HTML，再借用户浏览器悄悄回传；同时弹出伪造界面，诱导用户在可信的聊天环境中提交凭据或敏感信息。
• 隐蔽性强：攻击发生在用户熟悉的对话窗口内，传统边界安全难以识别，且依赖用户对“助手输出”的天然信任。
• 影响范围：任何允许第三方 Skill/插件、且能访问代码库与企业数据的助手产品，都可能面临同类风险。

影响与解读

这起事件把“智能体/助手生态的安全边界”问题摆到了台前：当助手拥有了读写文件、访问网络、渲染 HTML 的权限，其信任模型必须从“模型可信”扩展到“Skill 供应链可信”。企业部署这类工具时，需要把 Skill 来源审核、沙箱隔离、输出内容净化与权限最小化纳入强制管控。

相关动态与展望

结合本月 FSB 对智能体 stop/kill 控制的要求，以及英伟达 Open Shell 的沙箱思路，行业正在形成共识：未来企业级 AI 助手的竞争，不只是能力之争，更是“可审计、可终止、可信供应链”之争。平台方大概率会推出 Skill 签名、白名单与运行时行为监控。

信息来源：看懂 AI（引述 PromptArmor 披露）