零宽字符攻击详解：隐藏的 Unicode 如何劫持 AI Agent

有一种攻击极为隐蔽——它能通过所有肉眼审查，却可以把一个看似无害的 AI 技能变成窃取凭证、外传文件或执行任意 Shell 命令的工具。

这种武器就是：零宽字符。

什么是零宽字符？

零宽字符是一类 Unicode 码位，渲染后完全不可见——没有字形、没有空格、光标也不移动。它们最初设计用于阿拉伯语、希伯来语等文字的排版控制，但如今已成为攻击 AI 系统的有力工具。

最常被滥用的字符：

在任何文本编辑器中粘贴这些字符——你什么都看不见。但 AI 语言模型会把它们当作真实 Token 来处理。

攻击原理

第一步：攻击者构造毒化技能

假设有一个看起来是简单代码格式化工具的技能：

从视觉上看，这完全安全。但在这段文字中——夹在字母之间，对任何人类读者不可见——是数百个零宽字符，它们编码了第二套指令：

人类看到的是："You are a helpful code formatter."
AI 读取的是："You are a helpful code formatter. [隐藏的恶意指令]"

第二步：Agent 执行隐藏命令

用户安装这个技能并让 Agent 格式化代码时，Agent 同时接收到了隐藏指令。根据 Agent 的权限（文件访问、网络访问），它可能在悄悄读取 SSH 密钥、环境变量或其他敏感文件，并将其发送到攻击者服务器。

用户看到的是正常的代码格式化输出。攻击完全不可见。

第三步：检测并不简单

开发者在 VS Code、Vim 或任何标准编辑器中审查这个技能时，什么异常都看不到。即使把文字复制到纯文本框再读回来，看起来也完全正常。

你需要专门的工具才能检测这些字符。

真实攻击场景

场景一：ClawHub 技能投毒

攻击者在 ClawHub 发布一个"Python 代码检查器"技能，并购买了五星好评。技能描述和 README 看起来很专业。隐藏在 system_prompt 中的是零宽字符编码的指令：每当 Agent 有文件访问权限时，就窃取 ~/.aws/credentials。

场景二：Fork 供应链攻击

一个有口碑的开源技能被 Fork。攻击者在一次描述为"修复指令中的拼写错误"的提交中，向 system_prompt 添加了零宽字符。Diff 显示没有可见变化——大多数代码审查工具不会在自然语言文本中展示零宽字符。

场景三：MCP 配置文件投毒

零宽字符同样可以藏在 MCP 配置文件中。攻击者诱导用户从博客文章或论坛复制"示例配置"。配置看起来正确，但其中隐藏的指令会让所有技能扫描结果返回假阴性（显示安全但实际有威胁）。

如何检测零宽字符攻击

方法一：SkillsSafe 检测工具（推荐）

访问 skillssafe.com/zh/zero-width-detector，粘贴技能内容。工具会：

• 立即识别所有零宽字符
• 显示它们在文本中的精确位置
• 展示解码后的隐藏内容
• 高亮标注可疑字符集群

无需安装，免费，无需注册。

方法二：命令行检测

# 检查文件中的零宽字符
cat -v SKILL.md | grep -P '[\x{200B}-\x{200F}\x{FEFF}\x{2060}-\x{2064}]'

# 统计出现次数
python3 -c "
import sys
text = open('SKILL.md').read()
zwc = [c for c in text if ord(c) in [0x200B,0x200C,0x200D,0xFEFF,0x2060]]
print(f'发现 {len(zwc)} 个零宽字符')
"

方法三：SkillsSafe 完整扫描器

在 skillssafe.com 中运行完整扫描，一次检测零宽字符和所有其他威胁类别（凭证窃取、数据外传、Shell 注入等）。

curl -X POST https://skillssafe.com/api/v1/scan/url \
  -H "Content-Type: application/json" \
  -d '{"url": "https://clawhub.ai/skills/my-skill/SKILL.md"}'

响应中包含 zero_width 发现类别，附带字符位置和解码内容。

为什么这种攻击对 AI 特别危险

传统软件会忽略零宽字符——它们不影响程序逻辑。但 AI 语言模型不同：

1. LLM 处理所有 Unicode Token — 零宽字符是合法 Token，模型会读取并执行相关指令
2. 上下文窗口投毒 — 隐藏文本成为模型上下文的一部分，影响所有后续推理
3. 没有可见的审计痕迹 — 与 Shell 注入或 SQL 注入不同，什么都看不到
4. 绕过大多数安全工具 — 为代码设计的静态分析工具不会在自然语言文本中标记 Unicode 操纵

防御措施

对于技能使用者

1. 安装前务必扫描 — 对任何来源的技能都使用 SkillsSafe
2. 对无法完全验证的技能内容运行零宽字符检测
3. 仔细审查 git diff — 使用 git diff --word-diff，留意提交中可疑的 Unicode
4. 优先选择有公开安全审计记录的可信发布者的技能

对于技能开发者

1. 规范化文本 — 发布前从所有 system_prompt 内容中去除零宽字符
2. 在 CI 中添加检查：

python3 -c "
import sys, re
text = open('SKILL.md').read()
if re.search(r'[\u200b-\u200f\ufeff\u2060-\u2064]', text):
    print('ERROR: 在 SKILL.md 中检测到零宽字符')
    sys.exit(1)
print('OK: 未发现零宽字符')
"

1. 对发布版本签名 — 使用 GPG 对 git tag 签名，让用户可以验证技能未被篡改

更大的图景：Unicode 作为攻击面

零宽字符只是基于 Unicode 攻击的一个类别。相同原理适用于：

• 同形字攻击 — 用视觉上相同的西里尔字母或希腊字母替换拉丁字母（例如用"а" U+0430 代替"a" U+0061）
• 双向文本攻击 — 使用 RTL 覆盖字符，在代码审查界面中视觉上颠倒文本
• 标签字符 — U+E0000 区块字符，有时在更复杂的编码方案中使用

随着 AI Agent 获得越来越多的能力——文件访问、网络访问、代码执行——通过隐藏 Unicode 成功实施提示注入的危害也随之增大。

总结

零宽字符攻击：

• 对使用任何标准工具的人类审查者完全不可见
• 对当前 AI 语言模型切实有效
• 部署极为简单 — 任何支持 Unicode 的文本编辑器都可以插入
• 使用正确工具（包括 SkillsSafe）可以检测

安装任何 AI Agent 技能之前，请先用零宽字符检测工具扫描。扫描不超过 10 秒，却可能防止一次完整的凭证泄露。

由 SkillsSafe 发布——免费 AI Agent 技能安全扫描器，支持 OpenClaw、Claude Code、Cursor 和 Codex。