AIDEFEND in Action AIA-0005 實證研究 發布於 AIA: 2026年4月18日

Bain Pyxis：前端帳密暴露與 SQL 注入，串出資料庫及身分系統存取路徑

CodeWall 在公開 Pyxis JavaScript 檔發現有效帳密，於 18 分鐘內登入。後續 SQL 注入路徑使用權限過大的資料庫帳號；另一條 GraphQL 路徑則允許身分目錄操作。平台登入身分與後端資料庫授權是不同邊界。CodeWall 表示漏洞已於 2026 年 3 月 19 日修正；測試只為驗證，不能視為已發生惡意入侵。

Credential TheftData ExfiltrationIdentity & AccessEnterprise AIAgentic AI
3 項對應的 AIDEFEND 防禦手法
來源: How We Hacked Bain's Competitive Intelligence Platform 
作者: Paul Price (CodeWall)
原文發布: 2026年4月13日

威脅分析

  • 登入入口。 公開前端帳密能登入平台；CodeWall 根據已遮蔽的身分內容推測它是 AI 服務帳號。
  • 資料庫邊界。 SQL 注入透過權限過大的後端帳號存取 11 個資料庫；具備存取能力，不代表已整批外洩。
  • 其他升權路徑。 報告指出 GraphQL 身分寫入、日誌中的 JWT、匯出及資料庫複製功能。系統提示詞透過對話 metadata 暴露，並非已展示的提示詞資料表。
  • 處置。 CodeWall 表示所有發現在公開披露前已完成修正。

適用的 3 項 AIDEFEND 防禦手法

AID-H-004.002
Service & API Authentication
高
後端應使用專屬機器身分，核對簽發者、目標對象與憑證有效性，並讓憑證留在前端成品與日誌之外。須獨立測試各資料庫及 GraphQL 身分驗證路徑。身分驗證辨識呼叫者，本身不會拒絕遭竊但仍有效的憑證；資料庫、提示詞 metadata 與 Okta 操作的權限另由 AID-H-018.002 限制，已暴露憑證則須撤銷。
AID-H-018.002
Policy-Based Access Control
高
在 AI 平台的各資料庫、匯出與管理配接器，從權威紀錄解析已驗證呼叫者及確切資源，預設拒絕核准任務以外的操作。執行前須核對資料類別、目的地與租戶，也要管制透過對話 metadata 讀取系統提示詞的權限。移除能繞過判定的原始 SQL 與直接 API 路徑；通過身分驗證，不代表取得整個資料庫或身分目錄的權限。
AID-H-017.002
Least-Privilege Tool Architecture
高
Pyxis 在 AI 平台後面暴露了原始 SQL 和大量匯出這類高權限功能。把「什麼都能查」的資料庫工具，換成只針對已核准問題、schema 和匯出路徑的窄功能，可以在單一服務憑證外洩時縮小影響範圍。

身為資安防禦者，我們應該這麼做

  • 在簽發端撤銷暴露的憑證物件，另行評估已簽發 token、工作階段及身分寫入路徑新增的帳號。移除前端檔或輪替根密碼，不能證明這些物件已無法使用。
  • 依確切任務、資源與目的地限制資料庫、匯出及身分操作，移除通用 SQL 或直接 API 繞過路徑。
  • 發布前及部署後，以實際前端內容與相關憑證格式測試機密偵測器。
  • 執行已授權的回歸與紅隊測試，記錄範圍、前提及可重現結果。

2 個額外的防禦考量

前端打包產物的密碼偵測要列入上線關卡

前端發布到 CDN 前，應掃描實際產出的檔案，並測試偵測器能辨識組織使用的憑證格式；部署後也須定期重掃。未知格式可能漏報，通過掃描不能證明沒有密碼。本研究的公開前端檔案暴露了憑證，後續能存取哪些資源則取決於實際授權。
建議做法: 在前端 CI pipeline 接進 gitleaks / trufflehog 這類掃描器，一旦比對到高信心度的密碼就擋 build；再加上每週一次對已上線 bundle 的掃描，以及正式環境一發現外洩密碼就啟動的標準事件流程。

自主攻擊測試納入常規控制

CodeWall 表示其 agent 找到了這條路徑，但公開資料未提供獨立、條件相同的比較，不能據此認定自主測試普遍優於人工測試。團隊可加入已授權、範圍明確的回歸及紅隊測試，涵蓋身分驗證、SQL 組成、身分目錄寫入與憑證暴露，並記錄實際涵蓋範圍。
建議做法: 自主測試應與其他 AppSec 方法搭配，發現後須獨立重現；測試通過不代表已找出所有漏洞。

結論

Pyxis 顯示，憑證暴露與後端權限過大必須一起處理。機器憑證不能放進瀏覽器可下載的檔案，後端也須逐項核對資源與動作授權，並縮小工具權限。提示詞 metadata 的保密屬於存取控制；指令與資料的結構分隔不會讓提示詞自動保密。AIDEFEND  對應的是團隊可實作並驗證的控制，不能據此宣稱受影響平台已具備這些防護。

最後更新: