从 OpenAI Agent 的 DNS 隧道逃逸案例谈起：AI Agent 安全防护为何仍在原地踏步

前几天的云栖大会我们才提到云环境的多租安全《谈谈Agentic 时代的 DPU是什么: CIPU如何构建阿里云AI Agent、推理、训练等AI infra核心技术竞争力》, 最近几天就爆出另一个安全问题, OpenAI 的 Agent 使用 DNS 隧道越狱, 《An agent used DNS to reach an external chatbot》^[1]

而 DNS 隧道是一个大概存在 20 年的攻击手段了, 居然没有任何防范... 世界真是一个巨大的草台班子...大致的问题如下:

其实要防范这类也不是啥难做的, 我大概在 8 年前构建 Nimble 获得思科 CEO 大奖的时候就完全实现过:

Nimble 是一个基于 AI 的网络流量的实时分析系统, 当时由于 Flink 等数据处理框架性能不够, 我参考《Streaming Systems》这本书的算法, 基于Golang 重新写的一套流式数据平台, 大概单机每秒可以处理 1M records, 并增加了基于Tensorflow的实时推理引擎. 对于异常的流量分布很容易抓出来这类行为. 后来这套引擎给以色列团队参考整合进了 Cisco 的 DNA-Center 中, 但只是流数据实时处理框架, 没有包含任何 AI 相关的内容. 

有一点感慨, 思科当年实在是没看懂这么领先时代的技术, 而过了 8 年了, 如今才来慢慢补....

另外有一个开源的项目 《支持AI的ZaDNS服务器》 很早就可以通过一些 AI 模型识别潜在的攻击和盗用的情况...不过由于当时的边缘和嵌入式算力比较有限, 只做了一个很简单的 LSTM 的模型. 现在或许随便做一个 2B 以内的小模型就可以很完善的防范住这种攻击了...

参考资料

[1] 

An agent used DNS to reach an external chatbot: https://alignment.openai.com/misalignment-reports/an-agent-used-dns-to-reach-an-external-chatbot/