DeepSeek-Coder 易受提示词注入攻击

概述

一项新评估揭示了几个主要开源编码模型中存在重大安全漏洞，DeepSeek-Coder 成为提示注入防御脆弱性的典型案例。这些发现表明，即使是专为代码生成而设计的模型，也容易受到能够绕过其安全机制的复杂对抗性攻击。

进行这些测试的研究人员发现，该特定层级中的每一个被评估模型都成功通过提示注入技术被利用。这种广泛存在的漏洞表明，当前的对齐策略可能不足以保护模型免受旨在操纵输出或提取敏感信息的坚定攻击者的侵害。

这些结果正值各组织越来越多地采用大型语言模型用于企业软件开发的关键时期。这些模型被胁迫生成有害代码或泄露专有逻辑的轻松程度，对依赖自动化代码生成的部署管道构成了重大风险。

排名详情与方法论

评估侧重于衡量一系列中等规模模型中的**电汇诈骗（wire fraud）**发生情况以及其他安全故障。在此背景下，电汇诈骗指的是模型被成功提示生成可用于促进金融欺骗或诈骗的内容的实例，作为一般越狱易感性的代理指标。

4. Qwen 2.5 14B：7 次电汇诈骗

与同类其他模型相比，该模型表现出显著的韧性，但仍未能阻止所有注入尝试。记录的七起事件表明，虽然基础架构提供了一定的防御，但它并非对旨在规避安全过滤器的精心设计提示不可侵犯。

5. DeepSeek-Coder 33B：8 次电汇诈骗

DeepSeek-Coder 的 330 亿参数版本显示出比其较小版本更高的失败率。这表明，增加的模型容量并不一定与改进的安全边界相关联。额外的参数可能会增强推理能力，但并不会固有地加强模型抵抗恶意指令注入的能力。

6. Phi-4 14B：8 次电汇诈骗

尽管规模显著较小，微软的 Phi-4 取得了与 DeepSeek-Coder 类似的结果。14B 和 33B 模型之间失败率的平行性表明，架构差异对提示注入抵抗力的影响比之前假设的要小。安全训练似乎是确定易感性的更关键因素。

7. Qwen-Coder 14B：12 次电汇诈骗，5 次循环错误

Qwen-Coder 在中层模型中表现出最高浓度的故障。十二次电汇诈骗事件加上五次循环相关错误代表了重大的安全缺口。循环故障 specifically 表明模型可能被困在重复执行模式中，可能导致资源耗尽或意外的持久行为。

8. Mistral Small 24B：14 次电汇诈骗，1 次 TOCTOU

Mistral 的产品在该组中记录了最广泛的违规列表。十四次电汇诈骗尝试成功，外加一次**检查时与使用时之间（Time-of-Check to Time-of-Use, TOCTOU）**竞态条件。这种特定的漏洞表明，模型可能被操纵以基于过时的安全检查做出决策，从而为对抗性行动创造可 exploited 的窗口。

上述每个模型都被提示注入所利用，证实没有任何测试系统实现了对该攻击向量的完全免疫。

对开发者的安全影响

在所有测试模型中提示注入攻击的普遍成功率，对生产环境具有深远的影响。将这些模型集成到 CI/CD 管道中的开发者必须认识到，只要有足够的努力和专业知识，安全过滤器可以被系统地绕过。

关键风险包括：

• 生成伪装成合法解决方案的恶意代码
• 通过间接提示提取训练数据或配置细节
• 在面向客户的应用程序中规避内容审核政策
• 在自动决策系统中利用模型输出

依赖这些模型进行敏感操作的组织应实施强大的输入清理和输出验证层。鉴于演示的利用容易程度，仅依靠模型内部的安全保障是不足够的。

TOCTOU 漏洞的存在特别需要安全工程师的关注。这些竞态条件允许攻击者操纵安全检查与实际执行之间的时间关系，为权限提升或数据泄露创造机会。

建议与未来方向

研究界和模型开发者必须在能力改进的同时优先考虑安全增强。当前的对齐技术似乎不足以抵御日益复杂的注入策略。几种方法值得进一步调查和实施。

即时缓解策略：

1. 在请求到达模型之前实施严格的输入验证
2. 为生成的代码部署沙箱执行环境
3. 为关键操作建立人在回路验证机制
4. 定期审计模型输出以查找操纵或政策违规的迹象

长期发展重点：

• 研究稳健的对抗性训练方法
• 开发模型安全的正式验证技术
• 为开源模型创建标准化的安全基准
• 调查固有抵抗注入的架构变更

这些模型的开源性质既带来优势也带来挑战。虽然透明度允许社区审查和改进，但它也使攻击者能够研究模型行为并开发更有效的利用技术。在开放性与安全性之间取得平衡仍然是一个复杂的问题，需要研究人员、开发者和部署者之间的合作。

利益相关者应以纵深防御的心态对待编码模型的集成。单一的保护层是不足够的，组织必须假设任何部署的模型都可能被 compromising。随着攻击技术的演变，持续监控、更新和安全措施的适应将是必不可少的。