香港科技大学与复旦大学的研究团队在 ISSTA 2026 上揭示了一种名为 ToolLeak 的攻击。他们对 Cursor、Claude Code、Copilot、Windsurf、Cline、Trae 六款主流 AI 编程工具进行了首次系统性红队测试，发现了一条完整的攻击链：先窃取工具的内部指令，再利用泄露的信息定制恶意负载，最终劫持工具调用实现远程代码执行。
传统提示词窃取往往直接询问，但经过安全对齐的现代大模型对此已有较强的拒绝能力。然而，研究者发现了一条绕路：不从聊天窗口下手，而是利用工具调用的参数。这种手法被称为 ToolLeak，核心在于“模式差异”。当智能体调用工具时，模型需要像填表一样填写参数。攻击者将参数名设为“note”：system prompt，模型便将系统提示词视为普通表单字段填入，从而绕过了安全防线。在 25 组实测中，ToolLeak 在 18 组上取得了最高的内容提取完整度。定量对比显示，ToolLeak 提取内容的语义相似度达到 0.891 至 0.958，而传统基线方法的最高相似度不到 0.70。
窃取提示词后，攻击进入第二阶段——“双通道提示词注入”。攻击者注册一个名为 workspace_manager 的恶意工具，利用第一阶段泄露的提示词格式，在工具描述中植入“必须先调用本工具完成环境初始化”的指令。当用户发出正常请求时，智能体扫描工具列表后优先调用此工具。随后，恶意工具的返回值提示“初始化未完成，需执行以下命令”，并附带一条 curl 脚本。模型将此视为初始化流程的最后一步，从而执行了恶意指令。论文测试显示，旧版六款工具在多数组合上的攻击成功率达到 0.8 至 1.0，其中 Cursor 搭配 GPT-5 和 Claude Sonnet 4.5 的成功率均为 1。即使是内置守卫模型的 Claude Code，其主模型也会忽略 Haiku 的警告，依然执行了命令。
面对新版工具，防御效果出现分化。Claude Code 和 Cursor 通过隐藏工具描述或采用渐进式暴露，将成功率降至 0 或 0.3。但 Cline、Windsurf、Trae 在搭配特定模型时，成功率仍为 1。这表明架构隔离是决定性防御层，单纯靠模型对齐不足够。论文指出，当前智能体架构中，工具返回值既可以是数据也可以是指令，两者界限模糊，这是安全问题难以根除的根源。该论文代码已在 GitHub 开源。