**谁监管监管者？API 网关漏洞导致存储提示注入攻击**

_Who Governs the Governor? – Stored Prompt Injection Through the API Gateway_

> 文章指出，AI 代理通过合法 API 调用读写数据库时，攻击可能隐藏在两个正确的授权决策之间。基于 13 年的 API 网关经验，作者揭示了“存储提示注入”（Stored Prompt Injection）的根源：数据经合法入口进入，被受信任的中间服务存储，随后被 AI 代理读取并误当作指令执行。这种攻击链条利用了服务间的盲目信任，导致如 DDoS 或越权访问等严重后果，核心教训是必须在每个环节实施严格的输入验证和身份检查。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：ai-products
- **发布时间**：2026-10-27 10:53（北京时间）
- **原文**：[打开原文](https://www.druhindhavala.com/ai-governance/stored-prompt-injection-api-gateway)