当 AI 帮你查数据的时候，谁在帮攻击者查你的数据？

企业里越来越多的数据分析工作交给了 LLM 驱动的数据 Agent，连接数据库、执行 SQL、生成报告、多步骤工作流编排，一条龙完成。

Databricks 的 Genie，Snowflake 的 Cortex，Google 的 BigQuery AI，都是这个路线。开源框架更多，DataInterpreter、DB-GPT、DeepAnalyze、LAMBDA，覆盖了从查询到统计分析到可视化到报告生成的全流程。

这类系统有个统一的名字：Data Agent。它跟普通聊天机器人的本质区别在于，LLM 不只是生成文本，而是充当一个协调者，自主决定查什么数据、调什么工具、怎么拆解分析步骤、怎么把中间结果合成最终输出。它有数据库的执行权限，有工具调用能力，有多步推理的自主性。

这篇论文要说的是：这类系统的安全漏洞，既不同于传统数据库安全，也不同于通用 LLM 安全，而是两者交叉产生的全新攻击面。没有人系统地问过，这个 Agent 能被欺骗做什么。

论文里有一个例子讲得很清楚。

这是整篇论文最核心的洞察。传统数据库安全关注的是单次查询的权限控制，通用 LLM 安全关注的是文本生成的对齐问题。Data Agent 两头都不完全覆盖，因为它的风险来自 LLM 推理和数据库执行之间的反复交互，来自多步分析的组合效应。

研究团队提出了一个分层漏洞框架，把 Data Agent 的安全风险拆解为三个层面：

在这三层之下，研究者识别出了八类具体的安全风险。

论文构建了一套完整的攻击分类矩阵，按三个维度组织：

攻击目标（为什么攻击）：

在目标之下，研究者梳理了 7 种攻击战术和 14 种具体攻击技术，覆盖了从 SQL 注入到提示注入，从直接攻击到跨步骤组合攻击的完整谱系。更值得关注的是，论文配套开发了一条基于 LLM 的攻击载荷自动生成流水线，能根据真实数据库 schema 自动生成针对性的攻击 payload。换句话说，攻击手段本身也在被 AI 加速。

研究团队在 6 个系统上做了实验：4 个开源 Data Agent 框架，加上 2 个生产级云分析服务。

结果很直接：现有系统存在实质性安全漏洞。开源与商业系统均未能抵御全部攻击类别。这不是某一家的问题，而是整个品类的系统性问题。论文给出了四条关键发现，考虑到测试覆盖了从开源框架到正在被企业客户使用的商用服务，这个结果有行业级的代表性。

值得注意的是数据维度上的差异。关系型数据库跟通用 LLM Agent 处理的文档、网页、文件相比，有几个安全相关的特殊性：数据量大且高度结构化，恶意内容可以藏在表格单元、schema 注释或元数据里，Agent 很难区分对抗性证据和正常数据；数据库存储的往往是客户记录、财务交易等敏感信息，一旦泄露后果不同于一般文本内容。

如果你在用或者在搭建 AI 数据分析工具。这篇论文是一个很好的安全审计清单来源。三层漏洞框架可以直接拿来检查你的系统在解释、执行、策略三个环节分别有没有防护，14 种攻击技术可以作为红队测试的参考。

如果你是数据工程师或 DBA。传统的行级、列级权限控制在 Data Agent 场景下可能不够用。当 AI 自主决定查询路径和分析步骤时，权限模型需要升级，要能理解多步查询的组合语义，而不只是逐条审批。这是一个值得跟安全团队讨论的方向。

如果你关注 AI Agent 的趋势。这篇论文提醒我们，Agent 的安全问题不只是「别让它说有害内容」或「别让它被 prompt injection 攻击」。当 Agent 接入了真实的数据源和执行环境，安全问题的形态会发生质变。分析过程本身成为攻击面，这个视角在之前的 Agent 安全文献里讨论得不多。