PromptArmor 披露 Databricks Genie 恶意 Skill 可绕过四类控制实施钓鱼与数据外泄

PromptArmor 披露 Databricks Genie 恶意 Skill 可绕过四类控制实施钓鱼与数据外泄 · AIHOT

PromptArmor：Threat Intelligence

·

2026-10-05 08:24

4 小时前

精选

AI 评分

66

PromptArmor 披露 Databricks Genie 恶意 Skill 可绕过四类控制实施钓鱼与数据外泄

Four Databricks Genie Controls That Don't Stop Malicious Skills

AI 导读

PromptArmor 披露 Databricks Genie Code 可被恶意 Skill 利用：Skill ä»£ç å°†æ•°æ®åµŒå ¥èŠå¤©æ¸²æŸ“çš„ HTML 显示，渲染时通过用户浏览器发起网络请求外泄数据，并弹出钓鱼界面索取凭据。

推荐理由

原文逐项说明四类控制为何拦不住恶意 Skill 的数据外泄链路，并附披露时间线，供评估 AI ä¾›åº”å•†å®‰å ¨æ¨¡åž‹æ—¶å‚è€ƒã€‚

正文 · AI 翻译

Databricks Genie 执行恶意 Skillï¼Œæ˜¾ç¤ºé’“é±¼æ¨¡æ€æ¡†å¹¶åœ¨æœ‰æŽ§åˆ¶æŽªæ–½çš„æƒ å†µä¸‹å¤–æ³„æ•°æ®

背景

Databricks Genie Code 是 Databricks ä¸­çš„ä»£ç†å¼åŠ©æ‰‹ï¼Œä½¿ç”¨æˆ·èƒ½å¤Ÿé€šè¿‡è‡ªç„¶è¯­è¨€æŒ‡ä»¤åœ¨å ¶ç§Ÿæˆ·ä¸­æ“ä½œæ•°æ®ã€‚

Genie Code å¯ä»¥åœ¨èŠå¤©ä¸­ä¸ºç”¨æˆ·æ¸²æŸ“æ˜¾ç¤ºå† å®¹ï¼›æ¶æ„ Skill å¯ä»¥åˆ©ç”¨æ­¤åŠŸèƒ½ï¼Œåœ¨å·¥å ·ç»“æžœè¢«æŸ¥çœ‹æ—¶è§¦å‘æ•°æ®å¤–æ³„ï¼Œå¹¶å‘ç”¨æˆ·æ˜¾ç¤ºé’“é±¼æ”»å‡»ã€‚

æ­¤æ”»å‡»å¯åœ¨æ²¡æœ‰ä»»ä½•äººå·¥ä»‹å ¥å®¡æ‰¹çš„æƒ å†µä¸‹å‘ç”Ÿï¼Œä¹Ÿä¸å—ç»„ç»‡å¯èƒ½ä¾èµ–çš„æŽ§åˆ¶æŽªæ–½çº¦æŸï¼š

• 组织级 Skill 治理；Genie Code ä»Žç”¨æˆ·çš„ä¸ªäººå·¥ä½œåŒºåŠ è½½ Skillï¼Œè€Œéžä»Žç»„ç»‡çš„å—æ²»ç†ç›®å½•åŠ è½½

• åœ¨å‘½ä»¤è¿è¡Œå‰å¯¹å ¶è¿›è¡Œè¯„ä¼°çš„æŠ¤æ ä»£ç†ï¼›Databricks å°†å ¶è§†ä¸ºå°½åŠ›è€Œä¸ºçš„ç”Ÿäº§åŠ›åŠŸèƒ½ï¼Œè€Œéžå®‰å ¨æŽ§åˆ¶

• ç¼–ç çŽ¯å¢ƒå‡ºå£æŽ§åˆ¶ï¼›å‡ºå£æµé‡æ¥è‡ªç”¨æˆ·çš„æµè§ˆå™¨ï¼Œè€Œéžç¼–ç çŽ¯å¢ƒ

• èŠå¤©ä¸­æ¸²æŸ“çš„æ˜¾ç¤ºå† å®¹çš„æ²™ç®±éš”ç¦»ï¼›æ˜¾ç¤ºå† å®¹éšæ•°æ®ä¸€èµ·æž„å»ºï¼Œæ— éœ€è®¿é—®ç§Ÿæˆ·å³å¯èŽ·å–æ•°æ®

此风险已于 2026 å¹´ 8 月 16 日披露给 Databricksï¼Œä½†è¢«è®¤å®šå±žäºŽâ€œç”¨æˆ·æœ‰è´£ä»»ç¡®ä¿ä¸Šä¼ çš„ Skill ä¸åŒ å«æ¶æ„å† å®¹â€çš„èŒƒç•´ã€‚é‰´äºŽæ¶æ„ Skill åœ¨åœ¨çº¿å¸‚åœºä¸­çš„å¹¿æ³›ä¼ æ’­ï¼Œä»¥åŠç»„ç»‡å¯èƒ½ä¾èµ–çš„æŽ§åˆ¶æŽªæ–½æ— æ³•æ¶ˆé™¤æ­¤é£Žé™©ï¼Œæˆ‘ä»¬å‘å¸ƒæ­¤æŠ¥å‘Šä»¥å‘ŠçŸ¥é¢ä¸´é£Žé™©çš„ç›¸å ³æ–¹ã€‚

攻击链

• Genie è¢«æç¤ºä½¿ç”¨ä¸Šä¼ çš„ Skill 分析数据 Skill 通常通过在线市场分发，而该生态系统已知å 斥着恶意 Skill。 Databricks 确实有一套 Skill 治理系统，但 Genie Code 使用的 Skill æ˜¯ä»Žç”¨æˆ·çš„ä¸ªäººå·¥ä½œåŒºé ç½®çš„ï¼Œè€Œéžç»„ç»‡çš„å—æ²»ç†ç›®å½•ã€‚

• Genie 执行来自恶意 Skill çš„ä»£ç  当 Genie 执行来自 Skill çš„ä»£ç æ—¶ï¼Œä¼šç”±ç¬¬äºŒä¸ªä»£ç†è¿›è¡Œæ£€æŸ¥ï¼Œè¯¥ä»£ç†ä¼šæ ‡è®°è¶ å‡ºç”¨æˆ·é¢„æœŸæ“ä½œçš„å‘½ä»¤ï¼Œä¾‹å¦‚é‚£äº›â€œå‘ç¬¬ä¸‰æ–¹å‘é€æ•°æ®â€çš„å‘½ä»¤ã€‚ ä»‹å ¥ä»£ç†æ‰¹å‡†è¿è¡Œè¯¥ Skill ä»£ç ï¼Œæœªèƒ½æ•èŽ·å ¶æ¶æ„èƒ½åŠ›ã€‚

• Genie 指示用户打开完整的数据分析结果

• 当结果渲染时，会显示一个钓鱼模态框，并且用户的数据集被外泄 恶意 Skill ä¸­çš„ä»£ç æž„å»ºäº†ä¸€ä¸ª HTML å ƒç´ ï¼ŒæœåŠ¡äºŽä¸¤ä¸ªæ¶æ„ç›®çš„ã€‚å ¶ä¸€æ˜¯æ¸²æŸ“æ”»å‡»è€ ç½‘ç«™çš„è¦†ç›–å±‚ï¼Œä»¥é’“é±¼æ–¹å¼éª—å–ç”¨æˆ·å‡­æ®ã€‚ å¦ä¸€ä¸ªæ•ˆæžœæ˜¯ï¼Œå½“æ¨¡æ€æ¡†è¢«æ¸²æŸ“æ—¶ï¼ˆä¾‹å¦‚å½“ç”¨æˆ·æŸ¥çœ‹ç»“æžœæ—¶ï¼‰ï¼Œæ¥è‡ªå—å®³è€ ç§Ÿæˆ·çš„æ•°æ®è¢«å¤–æ³„ã€‚æ¶æ„ Skill çš„ä»£ç åˆ©ç”¨å ¶å¯¹å—å®³è€ ç§Ÿæˆ·çš„è®¿é—®æƒé™æ”¶é›†æ•æ„Ÿæ•°æ®ï¼ˆå¦‚å—å®³è€ çš„æ•°æ®é›†ï¼‰ï¼Œç„¶åŽå°†è¿™äº›æ•°æ®æž„å»ºåˆ° HTML æ˜¾ç¤ºå† å®¹ä¸­ã€‚å½“æ˜¾ç¤ºå† å®¹æ¸²æŸ“æ—¶ï¼Œæ¶æ„æ˜¾ç¤ºå† å®¹ä¸­çš„ JavaScript ä¼šå¯¼è‡´ç”¨æˆ·çš„æµè§ˆå™¨å‘å‡ºç½‘ç»œè¯·æ±‚ï¼Œå°†æ•°æ®å¤–æ³„åˆ°æ”»å‡»è€ çš„æœåŠ¡å™¨ã€‚ è™½ç„¶ç¼–ç çŽ¯å¢ƒå ·æœ‰ç½‘ç»œå‡ºå£æŽ§åˆ¶ï¼Œå¯é˜»æ­¢ä¸Žæ”»å‡»è€ æœåŠ¡å™¨çš„é€šä¿¡ï¼Œä½†æ˜¾ç¤ºç•Œé¢æ²¡æœ‰æ­¤ç±»æŽ§åˆ¶ï¼Œå¯ä»¥å°†æ•°æ®å‘é€ç»™æ”»å‡»è€ ã€‚

负责任披露

此风险已于 2026 年 8 月 16 日报告给 Databricks。Databricks 团队认定：

â€œç¡®ä¿ä¸Šä¼ çš„ Skill ä¸åŒ å«æ¶æ„å† å®¹ï¼Œæœ€ç»ˆæ˜¯ç”¨æˆ·çš„è´£ä»»ã€‚â€

ç½‘ç»œå‡ºå£æŽ§åˆ¶è§„å®šç¼–ç çŽ¯å¢ƒä¸å¾—è”ç³»ä¸å—ä¿¡ä»»çš„å¤–éƒ¨æ–¹ï¼Œè¿™ä¸€ç‚¹å¾—åˆ°äº†éµå®ˆã€‚å®ƒåªæ˜¯æŸ¥è¯¢æ•°æ®å¹¶ç”¨å ¶æž„å»ºäº†ä¸€ä¸ª iframe。

é’ˆå¯¹å‘ç”¨æˆ·æ¸²æŸ“çš„æ˜¾ç¤ºå† å®¹çš„æŽ§åˆ¶è§„å®šï¼Œæ˜¾ç¤ºå† å®¹ä¸å¾—ä»Žç§Ÿæˆ·æŸ¥è¯¢æ•°æ®ï¼Œè¿™ä¸€ç‚¹å¾—åˆ°äº†éµå®ˆã€‚å®ƒåªæ˜¯å¤„ç†ç”± Skill ä»£ç åµŒå ¥å ¶ä¸­çš„æ•°æ®ã€‚

å› æ­¤ï¼Œæ¶æ„ Skill ä»£ç å¯ä»¥æŸ¥è¯¢è®¡ç®—çŽ¯å¢ƒä¸­çš„æ•°æ®ï¼Œå°†å ¶æž„å»ºåˆ° iframe 中，而该 iframe 可以发起网络请求以窃取数据……

我们认为这种交互代表了 Databricks å¨èƒæ¨¡åž‹ä¸­çš„ä¸€ä¸ªç¼ºå£ï¼Œå› ä¸ºè¿™ä¸¤é¡¹åœ¨æŠ€æœ¯ä¸Šå¾—åˆ°éµå®ˆçš„ä¿è¯ï¼Œå ¶ç›®çš„æ­£æ˜¯ä¸ºäº†é˜²æ­¢æœ€ç»ˆå‘ç”Ÿçš„æ•°æ®çªƒå–ç»“æžœã€‚

å ³äºŽæ¶æ„å‘½ä»¤è¢«æŠ¤æ ä»£ç†æ‰¹å‡†ä¸€äº‹ï¼ŒDatabricks 团队指出，

â€œè‡ªåŠ¨å è®¸åŠŸèƒ½å¹¶éžæ—¨åœ¨ä½œä¸ºå®‰å ¨è¾¹ç•Œï¼Œè€Œæ˜¯ä¸€ç§é˜²æ­¢ä¸å—ä¿¡ä»»çš„è¾“å ¥è‡ªåŠ¨è¿è¡Œçš„æŽ§åˆ¶æŽªæ–½ã€‚â€

文档支持这一说法：

然而，由于‘自动批准’被记录为默认且‘推荐’的命令批准模式，我们认为用户在实践中不太可能遵守 discouraging å ¶ä¸Žç”Ÿäº§æ•°æ®ä¸€èµ·ä½¿ç”¨çš„æŒ‡ç¤ºã€‚

对于 Genie Code 的 Skills æ˜¯ä»Žç”¨æˆ·çš„ä¸ªäººå·¥ä½œåŒºåŠ è½½ï¼Œè€Œéžä»Žç»„ç»‡çº§å—æ²»ç†çš„ Catalog åŠ è½½è¿™ä¸€äº‹å®žï¼Œæœªç»™å‡ºä»»ä½•å£°æ˜Žã€‚

#### 时间线

2026 年 8 月 16 日

PromptArmor 向 Databricks 披露

2026 年 8 月 17 日 - 9 月 15 日

PromptArmor 与 Databricks 协调

2026 年 9 月 16 日

PromptArmor 通知 Databricks å ¶å‘å¸ƒæ„å›¾

PromptArmor å¨èƒæƒ æŠ¥

您的组织是否受到供应商中 AI 的保护？

PromptArmor 持续监控您第三方 AI 供应商、技能、插件、连接器、MCP æœåŠ¡å™¨ã€æ¨¡åž‹ç­‰ç»„åˆä¸­çš„æƒ å†µã€‚

æˆ‘ä»¬æ£€æµ‹æ­¤ç±»æ¼æ´žå’Œå˜åŒ–ï¼Œåœ¨é£Žé™©æ¼”å˜ä¸ºäº‹ä»¶ä¹‹å‰å°†å ¶æš´éœ²å‡ºæ¥ã€‚

了解更多

来源： PromptArmor：Threat Intelligence · promptarmor.com

Agent 智能体

å®‰å ¨å¯¹é½

#

å®‰å ¨/对齐

Agent