当数据库成为安全边界：攻击 LLM 数据智能体

这是什么？

数据智能体是大多数「与数据仓库对话」类产品背后的模式：一个 LLM 读取自然语言问题，针对一个在线数据库编写 SQL 或调用分析工具，取回数据行，对其进行推理，并返回答案——往往要经过多个步骤，并持有对底层数据的长期凭据。它位于两种很少彼此对话的安全传统的交叉点。数据库安全假设查询面是固定且可审计的；LLM 智能体安全假设危险在于提示词。数据智能体同时打破了这两个前提，因为查询面如今由一个本身可被操纵的模型即时生成。

2026 年 6 月 8 日在 arXiv 发表的一项研究——由南洋理工大学、香港理工大学和清华大学的研究者撰写的《Data Agents Under Attack》——据我们所见，是第一篇把这一交叉点当作独立攻击面来处理、而非将其视为任一母领域特例的工作。它绘制出这些系统的失效点，构建了一套诱使其失效的分类法，并在真实系统上度量了结果。

工作原理

这篇论文的贡献有三方面，理解它们均无需一个可用的漏洞利用程序。

第一，一个分层的漏洞框架识别出八项数据智能体特有的风险，分布在三层：解释层（模型如何把请求转化为查询计划）、执行层（该计划如何针对数据库和工具运行）和策略层（智能体被允许看到和做什么）。分层的意义在于：解释层的一次失效——一个被悄悄改写为更宽泛查询的请求——会产生一个在任何监视执行层的传统控制看来完全合法的数据库操作。

第二，一套按对手目标、战术和技术组织的攻击分类法——三个目标、七种战术、十四种技术——并配有一条将每次攻击锚定在真实数据库模式（而非玩具示例）上的载荷生成流水线。这种对模式的锚定很重要，因为它正是让攻击从论文走向部署的关键：针对目标真实表结构表述的同一战术，命中的概率要高得多。

第三，一次覆盖六个系统的评估：四个开源数据智能体和两个生产环境的云分析服务。作者报告称，所有系统都存在实质性漏洞。我们有意不复现任何载荷，也不指明哪种技术对哪款产品奏效；对防御者而言有用的信号是失效面很广，而不是某一家厂商格外薄弱。

为何重要

最关键的发现是否定性的：无论是现有的 LLM 安全机制，还是传统的数据库安全控制，单独都不足够。一个被训练来拒绝有害文本的护栏，看不见一条格式完好、却窃取了它本不该触及的列的查询。一个忠实执行表权限的访问控制列表，并不知道智能体被诱导去连接两张它拥有合法访问权的表，以此重建两者都不应泄露的信息。每种控制单独看都正确，却对另一种控制的威胁模型视而不见。

这一缺口并非纸上谈兵。企业分析助手、内嵌的报表副驾驶以及内部的「向你的数据提问」工具，正是构建在这一架构之上，通常配有一个权限按数据源（而非按单次请求）划定的服务账号。诚实的保留在于：这是一项研究评估，而非实战中观察到的事件或已分配的安全公告；其数字描述的是作者选取的六个系统，而非整个市场。但其结构性论断——数据库必须被当作安全的主动参与者，而非被动的存储——无论测试的是哪六个系统都成立。

防御

论文自身的处方是一个不错的起点：把数据库当作主动的安全边界，并在整个工作流上协调三种控制，而不是在末端加装一种。资源感知的执行控制意味着智能体的查询和工具调用受限于当前任务的需要，而非其服务账号的长期权限——按请求划定访问，而非按连接。组合式披露控制意味着推理一连串各自被允许的步骤能够拼装出什么，因为此处的泄露来自看似无害的连接和后续查询，而非某个被禁止的单次调用。溯源感知的证据处理意味着追踪每一行和每个中间结果的来源，从而让披露决策基于数据的出处，而不仅仅是它最终的形态。

在实践中，这意味着按任务划定的最小权限服务账号、模型与数据库之间的查询审批或查询改写层、在智能体之下（而非交由智能体）执行的行级和列级策略，以及把生成的 SQL 和工具参数作为一等安全遥测加以记录。而且，由于两种母控制各自会漏掉对方的失效，应对数据智能体进行端到端红队测试——从含糊的自然语言请求，到生成的查询，再到返回的数据行——而不是分开测试提示词过滤器和数据库访问控制列表。

状态

这是一项面向同行的研究评估，而非带有已分配标识符的产品漏洞。

项目	详情
来源	《Data Agents Under Attack: Vulnerabilities in LLM-Driven Analytical Systems》（arXiv:2606.08661）
单位	南洋理工大学；香港理工大学；清华大学
发表	2026 年 6 月 8 日
类型	漏洞框架 + 攻击分类法 + 评估
分类法	8 项分层风险（解释 / 执行 / 策略）；3 个目标、7 种战术、14 种技术
评估对象	6 个系统（4 个开源数据智能体，2 个生产环境云分析服务）
核心结论	无论 LLM 安全还是传统数据库控制，单独都不足够

主要来源发表于最近 60 天内。这条经验的持久意义在于架构层面：当模型来编写查询时，数据库便不再是被动的存储，而成为一个必须按其自身规则加以防御的控制点。