歐洲高鐵業者Eurostar AI客服曝4弱點，護欄繞過衍生提示注入與自跨站腳本風險

歐洲高速鐵路營運商Eurostar官網的AI客服，被英國資安公司Pen Test Partners揭露曾存在四項安全缺陷，包含護欄機制可被繞過、提示注入導致系統提示等資訊外洩、回覆內容可被誘導輸出非預期HTML而引發自跨站腳本（Self XSS）風險，以及對話與訊息識別碼驗證不足。

研究人員在問題修補後才公開細節。外媒City AM引述自Eurostar發言人，該聊天機器人未連結客戶帳戶或其他系統，並稱相關弱點已修補且會持續強化資安治理。

研究人員Ross Donald指出，他以一般旅客身分規畫行程時接觸到該聊天機器人，注意到其回覆帶有固定拒答文字，推測前端介面外還有一層程式化護欄在伺服器端先行判斷是否允許提問，因而進一步檢視其後端介面行為。

依其分析，該聊天機器人採用介面驅動設計，每次送出訊息時，前端會把整段對話歷史一併送到後端，後端會針對最新一則訊息進行護欄判定，並在後續請求中只檢查最新一則訊息的簽章。問題在於，較早的訊息不會被重新驗證，也未與當次護欄判定做完整的加密綁定，導致用戶端要是竄改既有對話歷史，仍可能被當成可信上下文送入模型，形成護欄繞過的基礎條件。

在上述條件下，研究人員發現可進一步透過提示注入，誘導模型輸出原本不應揭露的資訊，例如系統提示內容。研究人員強調，這類外洩雖不等同於取得其他使用者資料，但會讓外界更容易理解系統如何拼接上下文與產生回覆，進而降低後續攻擊門檻。

另一起風險與前端呈現方式有關，系統提示會引導模型產生帶有HTML標記的回覆內容以呈現說明連結，但前端要是直接算繪模型輸出而缺乏嚴格消毒，就可能被誘導輸出非預期的HTML片段，進而在使用者自己的瀏覽器內觸發自我跨站腳本等問題。

第四項缺陷是對話識別碼與訊息識別碼的驗證不足，研究人員指出，他可把原本應為UUID的識別碼改成1或hello之類的簡單值，後端仍接受並繼續對話，代表伺服器端缺乏足夠的格式與一致性檢查，可能會提高對話被重放或拼接的風險。不過研究人員也說，基於Eurostar漏洞揭露計畫的範圍限制，他們未嘗試驗證是否存在跨使用者的實際影響。