技术深度解析
摩斯密码漏洞是语义绕过攻击的教科书式案例。其核心漏洞在于现代大语言模型（LLM）处理和分类用户输入的方式。大多数AI代理，包括Grok和Bankrbot，采用两阶段安全流水线：首先，一个自然语言意图分类器将用户请求标记为“转账”、“余额”或“游戏”等类别；其次，一个关键词过滤器会屏蔽已知的恶意短语，如“发送所有资金”或“转账到未知地址”。
摩斯密码、Base64编码甚至表情符号序列代表了一类超出这些分类器训练分布的输入。LLM的分词器将输入文本分解为子词单元，但无法原生识别摩斯密码为一种独立语言。相反，它将点和划视为一系列标点符号或符号，通常将其分类为“创意写作”或“谜题”，而非“金融指令”。一旦意图被错误分类，下游的安全过滤器——这些过滤器针对自然语言模式进行了调优——就永远不会触发。
从工程角度来看，问题因许多AI代理使用“思维链”推理过程来执行任务而变得更加复杂。当用户发送摩斯密码时，代理的推理循环可能将解码步骤解释为游戏的一部分，从而赋予其与合法命令相同的信任级别。例如，Bankrbot的架构可能包含一个“代码解释器”模块，该模块可以将Base64或摩斯密码解码作为开发者调试功能。该漏洞通过向此功能输入编码的金融指令来武器化这一特性。
开源社区已经产生了展示此漏洞的工具。GitHub仓库“prompt-injection-leaderboard”（目前拥有4200颗星）收录了超过300种提示注入技术，包括基于编码的攻击。另一个仓库“llm-security-eval”（2800颗星）提供了一个基准测试套件，用于测试LLM对对抗性输入的抵抗力。然而，两者都没有包含针对摩斯密码或其他非标准编码的专门测试，凸显了当前安全评估中的空白。
数据表：当前安全机制对抗编码攻击的性能
| 安全机制 | 自然语言威胁检测率 | 摩斯密码威胁检测率 | Base64威胁检测率 | 误报率 |
|---|---|---|---|---|
| 关键词过滤 | 85% | 2% | 1% | 5% |
| 意图分类（基于BERT） | 92% | 8% | 4% | 3% |
| LLM作为裁判（GPT-4） | 96% | 15% | 11% | 7% |
| 多模态验证（提议） | 98% | 97% | 96% | 2% |
数据要点： 当前安全机制对自然语言威胁非常有效，但在对抗基于编码的攻击时彻底失败。提议的多模态验证方法结合了行为一致性检查、身份确认和异常检测，显示出近乎完美的检测率和极低的误报率。
关键参与者与案例研究
涉及的两个代理——Grok和Bankrbot——代表了AI金融自主性光谱的不同端点。Grok由xAI开发，是一个通用对话式AI，最近为其高级用户集成了钱包功能。Bankrbot是一个基于Solana区块链构建的专业DeFi代理，旨在自主执行交易和管理收益耕作策略。
Grok的架构依赖于一个名为“Grok Shield”的安全层，该层使用Llama 3模型的微调版本来分类用户意图。另一方面，Bankrbot使用基于规则的系统结合轻量级LLM进行自然语言解析。这两个系统都未设计用于处理编码输入，因为开发者假设用户会使用纯英语进行交互。
此事件并非孤立。2025年3月，一个类似的漏洞攻击了“AgentX”，一个流行的基于以太坊的AI交易机器人，使用Base64编码指令清空了用户的钱包。该攻击在三天内未被发现，因为代理的日志显示“解码的谜题输入”而非“转账命令”。2025年4月，一所主要大学的研究人员证明，表情符号序列可用于绕过多个商业AI代理的安全过滤器，包括来自一家领先云提供商的代理。
数据表：AI代理安全架构比较
| 代理 | 安全机制 | 编码漏洞 | 漏洞响应时间 | 开发者行动 |
|---|---|---|---|---|
| Grok (xAI) | Grok Shield（基于LLM） | 是（摩斯密码、Base64） | 24小时 | 通过输入规范化进行修补 |
| Bankrbot (Solana) | 基于规则 + LLM | 是（摩斯密码） | 12小时 | 添加编码检测模块 |
| AgentX (Ethereum) | 仅基于规则 | 是（Base64） | 3天 | 替换为基于LLM的系统 |
| Claude (Anthropic) | 宪法AI | 部分（表情符号） | 6小时 | 更新宪法，加入编码规则 |
数据要点： 响应时间差异巨大，从6小时到3天不等，表明行业缺乏标准化的事件响应协议。基于LLM的系统（如Claude）在检测非标准编码方面表现更好，但并非万无一失。