一个AI智能体在两小时内攻破了麦肯锡的Lilli。提示词居然是可写的。

2026年2月28日，安全初创公司 CodeWall 运营的一个自主进攻性安全智能体在 Lilli 的公开 API 接口面中发现了无需认证的 SQL 注入；Lilli 是 McKinsey & Company 的内部 AI 平台。该智能体在大约两小时内获得了其背后生产数据库的读写权限。CodeWall 于2026年3月9日公布了该攻击链。其说法称，该数据库以明文存储了4650万条聊天消息、5.7万个用户账户、72.8万个文件名以及决定 Lilli 如何作答的系统提示词——它们都以普通数据行的形式存储，因此可通过同一注入写入。McKinsey 确认了该漏洞，并表示已在数小时内修复；它表示，第三方取证调查未发现客户数据或客户机密信息被访问的证据。该档案将此记录评为“严重”，置信度为 A，记录了真实损害，并具有里程碑地位。完整记录及其严重性和置信度评级，以及其关于智能体驱动入侵的相邻条目，位于 Orca AI Incident Archive。

这个故事中传播最广的部分并不是 SQL 注入。SQL 注入是一类古老到其维基百科页面比大多数厂商安全公告还长的漏洞，而麦肯锡也不是一个小目标。真正传播开的是 CodeWall 发现的另一半：控制助手的指令——即决定它会回答什么、拒绝什么以及引用哪些来源的提示词——就存放在该智能体可写入的同一个数据库中，并且原则上可以通过一次 HTTP 调用中的一条语句加以更改。

代理是如何进入的

CodeWall 的报告中描述了一系列没有任何特殊元素的步骤。该智能体首先梳理了攻击面，并发现 Lilli 的 API 文档被公开暴露：超过 200 个端点，均有完整文档。大多数端点需要身份验证。有 22 个不需要。

那二十二个中的一个受理了用户搜索查询，并将它们写入了数据库。据 CodeWall 称，该查询的值已被安全地参数化——常规防御奏效了——但 JSON 中的键，也就是请求体中的字段名，却被直接拼接进了 SQL 字符串。当代理发送格式错误的键，并看到它们被原样反映在数据库错误消息中时，它识别出了一种标准扫描器无法捕获的注入。CodeWall 表示，常见的开源扫描器 OWASP ZAP 并未标记该问题。

从那时起，该智能体执行了 CodeWall 所称的十五次盲迭代，每条错误消息都进一步透露了底层查询的些许形态，直到实时生产数据开始返回。该文章引用了智能体自己的推理轨迹：当第一个真实员工标识符出现时，它说“哇！”，而随着规模变得清晰，它又说“这太具毁灭性了。” CodeWall 表示，该智能体随后将注入与一个 IDOR 漏洞串联起来，读取个别员工的搜索历史——Promptfoo 在 2026 年 3 月 10 日的一份分析中称这类漏洞为 BOLA，即失效的对象级授权。

目标选择本身就是一个单独的细节。CodeWall 表示，该智能体自行提议了 McKinsey，理由是该公司公开的负责任披露政策以及 Lilli 的近期更新，并称此次运行不涉及任何凭据、内幕知识，也没有人类介入。CodeWall 创始人兼 CEO Paul Price 在《The Register》2026 年 3 月 9 日的报道中表示，从研究目标到生成报告，整个过程完全自主，但他拒绝提供所涉及的确切提示词。

CodeWall 说数据库里有什么

以下每个数字均来自 CodeWall 自己的帖子，尚未经独立证实。CodeWall 未公布漏洞利用载荷，Promptfoo 指出，这意味着行数无法由第三方核查；麦肯锡方面则不予确认。

• 4650万条聊天消息以明文存储，来自一支使用Lilli讨论战略、客户合作、财务、并购活动和内部研究的员工队伍。

• 728,000 个文件名，包括 192,000 个 PDF、93,000 个 Excel 电子表格、93,000 个 PowerPoint 演示文稿和 58,000 个 Word 文档。这四种明确列出的类型合计为 436,000，因此标题总数所计入的文件类别包含 CodeWall 未逐项列出的类别。Silicon UK 于 2026 年 3 月 13 日报道称，这些文档本身与 CodeWall 获取的记录是分开存储的。

• 57,000 个用户账户、384,000 个 AI 助手和 94,000 个工作区——CodeWall 将其描述为该公司内部如何组织 AI 使用情况的一张地图。

• 涵盖 12 种模型类型的 95 条系统提示词和模型配置，以及 368 万个带有 S3 存储路径和内部文件元数据的 RAG 文档分块。

• 110 万个文件和 217,000 条智能体消息通过外部 AI API 传输，其中包括超过 266,000 个 OpenAI 向量存储。

CodeWall 在确认该攻击链的当天共记录了 27 项发现。为提供目标背景，该帖子称 Lilli 于 2023 年推出，以该公司 1945 年聘用的第一位职业女性命名，有超过 43,000 名员工使用，每月在包含超过 100,000 份内部文档的知识库上处理超过 500,000 条提示。McKinsey 向 The Register 提供的自身数据是，其 72% 的员工——超过 40,000 人——使用它，并且它于 2023 年 7 月推出。

提示层是可写的，但并未被写入。

这正是档案记录中的一行所压缩成的说法，值得单独拆开来看。CodeWall 的发现是，Lilli 的系统提示词与其他所有内容存放在同一个数据库中，因此拥有写权限的攻击者本可以重写这些提示词——用那篇文章的话说，是“悄无声息地”重写，“无需部署、无需改代码，只需一条包裹在单次 HTTP 调用中的 UPDATE 语句”。CodeWall 列出了它称会随之而来的四个后果：向信任该内部工具的顾问提供被投毒的建议、通过生成的回答泄露机密材料、移除护栏指令，以及留下既无文件变更也无进程异常可供检测的持久化。

CodeWall 并未声称这一切都是它所為。该帖称“所有测试均为仅验证性质”，访问权限仅限于确认每个漏洞所需的最低限度，并且“未对任何生产服务造成干扰”。Price 拒绝向 The Register 提供确切的提示词。因此，提示词层的可写性是一项由注入所支撑的能力主张，而非对 Lilli 行为已 demonstrated 的篡改——并且尚无任何已发布的证据表明 Lilli 给顾问的任何回答曾被操纵。

档案记录反映了这一界限：它记录的是对 AI 提示层的写入权限，而这正是 CodeWall 所建立的，并非对其的修改，后者无人能够证明。

麦肯锡怎么说

McKinsey 的说法范围更窄。在 Silicon UK 刊登的一份声明中，该公司表示，它“最近被一名安全研究员告知与我们内部 AI 工具 Lilli 相关的一个漏洞”，并且“我们迅速确认了该漏洞，并在数小时内修复了问题”，还表示“没有客户数据或客户机密信息被访问”。它向 The Register 补充说，其调查在“一家领先的第三方取证公司”的支持下，未发现任何证据表明客户数据或客户机密信息曾被该研究员“或任何其他未经授权的第三方”访问，并且“McKinsey 的网络安全系统是稳健的”。

McKinsey 和 CodeWall 在时间上也略有分歧。CodeWall 的时间线记录显示，其披露邮件于 2026 年 3 月 1 日发送给 McKinsey 的安全团队，CISO 于 3 月 2 日确认收到并请求提供详细证据，而补丁——所有未认证端点关闭、开发环境下线、公共 API 文档被屏蔽——也在同一天，即 3 月 2 日落地。如果从 3 月 1 日的邮件开始计时，McKinsey 的“数小时内”与当天修复是一致的，但 CodeWall 自己标注日期的时间顺序显示，修复是在披露一天后，而不是数小时内。双方在实质内容上一致：端点已关闭，公共文档已撤下。CodeWall 表示其在发布前已验证修复。Financial Times 于 2026 年 3 月 12 日报道了此事，标题为“黑客曝光缺陷后，McKinsey 匆忙修复 AI 系统”；文章正文位于付费墙后，本文无法阅读。

哪些已经确立，哪些尚未确立

• 双方均已确认：Lilli 的公共 API 界面存在一处未经身份验证的弱点，一名外部研究人员发现了它，麦肯锡确认了此事，修补了这些未经身份验证的端点，将开发环境下线，并于 2026 年 3 月初屏蔽了公共 API 文档。

• 仅由一方证实：本文中的每一项数量——4650 万条消息、72.8 万个文件名、5.7 万个账户、95 个可写提示词、两小时的耗时以及 27 项发现。这些均基于 CodeWall 的书面报告。载荷未公开，因此这些计数无法复现，且麦肯锡不为其背书。

• 未证明：任何提示词确实被篡改、任何客户数据离开系统，或任何顾问收到被操纵的答复。McKinsey 的法证审查称未发现访问证据；CodeWall 表示其测试仅为验证性质。这两种说法并不矛盾，且二者均不能证明一个更不受约束的攻击者在拥有相同访问权限时会做什么。

• 本次审查的报道中未出现以下内容：CVE 标识符、监管机构通知，或对该漏洞的独立技术审计。该记录仅为一份厂商研究披露和一份公司声明，并非法院立案文件或监管机构的认定结论。

有一项利益关联应当明确说明。CodeWall 发布这项研究，是为了给一款产品做营销：文章结尾称公司处于早期预览阶段，并正在寻找设计合作伙伴；Silicon UK 则报道称，Price 是其唯一员工。这并不说明该发现是错的——The Register、Silicon UK 和 Promptfoo 都认为这一技术链条可信——但这正是这些影响数据应被理解为供应商的说法、而非测量结果的原因。

为什么它会被归入人工智能类别

入口点并不是模型。Promptfoo 的 Michael D'Angelo 在 2026 年 3 月 10 日以最尖锐的表述指出了这一点：“AI 特有的部分并不是入口点，而是影响半径。”注入、认证缺口和跨用户访问都是普通的应用安全失效；让这起事件成为 AI 事件的是，提示词、路由、检索设置和用户历史都集中在同一个后端，因此数据库访问被转化成了对一名助手的行为控制，而数以万计的人会为了客户工作而咨询这名助手。

正因如此，存档将这条记录标记为 WEAPON 和 INFRA，而不是模型漏洞。智能体是工具——一个自主系统，它自行选择目标、对其进行探测并升级，而无需人类决定将其指向何处——而失败属于基础设施：一条被假定而非被强制执行的授权边界。CodeWall 的收尾论点——即提示词是“新的皇冠明珠资产”，却很少具备访问控制、版本历史或完整性监控——是一家销售持续自动化测试的公司的鼓吹。它也是文中唯一不依赖任何有争议数字的说法。