开源监控与数据可视化平台Grafana近日被曝存在安全漏洞，其内置的AI助手功能成为潜在风险点。安全研究机构Noma发布报告指出，该漏洞被命名为“GrafanaGhost”，攻击者可通过间接提示注入技术，在Grafana可访问的外部网页中植入恶意指令，诱导AI助手突破安全限制，将企业敏感数据传输至外部服务器。由于攻击过程无明显异常提示，用户难以察觉系统已被入侵。
据技术分析，该漏洞利用了AI助手对外部输入的解析机制缺陷。攻击者无需直接接触目标系统，只需在用户访问的网页中嵌入特定代码，即可触发数据泄露流程。这种隐蔽性使得漏洞在初期难以被发现，增加了企业数据暴露的风险。
Grafana开发方Grafana Labs在漏洞披露后迅速启动应急响应。公司首席安全官Joe McManus澄清，此漏洞不属于零点击或自动攻击类型，攻击者需先获取用户终端权限，并通过多次交互操作才能实施恶意行为。他强调，漏洞利用需满足特定条件，主要涉及用户操作触发的场景，而非完全自主的AI攻击。
截至目前，尚未发现该漏洞被实际利用的案例，Grafana Cloud服务也未出现数据泄露事件。开发团队已完成补丁更新，修复了AI助手的安全缺陷，并建议所有用户尽快升级至最新版本，以防范潜在风险。此次事件再次凸显了开源软件安全维护的重要性，企业需加强系统监控与定期更新，确保数据安全防护措施到位。
