文件 AI 系統攻擊

攻擊文件理解系統的技術，包括 OCR 管線、PDF 處理器和文件語言模型，透過版面配置操縱、隱藏文字和元資料注入等手法。

概述

文件處理 AI 系統在各行各業大規模部署——法律電子探索、金融分析、醫療記錄、人力資源篩選和合規審查。這些系統接受 PDF、掃描文件、試算表及其他結構化輸入，使用 OCR 和版面配置分析提取資訊，並將結果輸入語言模型進行摘要、分類或問答。

文件處理管線引入了在直接文字或圖像與語言模型互動中不存在的獨特攻擊面。PDF 檔案可以包含對人類檢視者不可見但可被解析器提取的隱藏文字層；文件版面可被操縱以混淆資訊提取；元資料欄位攜帶自動化系統處理但人類鮮少檢查的內容；字型替換可導致 OCR 系統誤讀字元。這些技術在 MITRE ATLAS AML.T0051（LLM 提示詞注入）下有記錄，並映射至 OWASP LLM Top 10 LLM01（提示詞注入）。

Bagdasaryan 和 Shmatikov (2023) 的研究證明，文件格式中的隱藏指令可以劫持語言模型處理鏈。Markowitz 等人 (2024) 顯示，PDF 特定攻擊比等效的文字型注入達到更高的成功率，因為文件處理管線通常缺乏應用於直接用戶輸入的安全過濾。

文件處理管線

架構與攻擊面

文件處理管線包含以下各階段（DocProcessingStage 枚舉）：

• INGESTION：文件讀入（漏洞：格式漏洞利用，如格式錯誤的 PDF、多格式混合檔案；影響：程式碼執行或解析器崩潰）
• PARSING：解析（漏洞：PDF 中的隱藏文字層；影響：透過提取的隱藏文字進行提示詞注入）
• OCR：光學字元辨識（漏洞：字型混淆和對抗性印刷；影響：誤分類、不正確的資訊提取）
• LAYOUT_ANALYSIS：版面配置分析（漏洞：版面配置操縱以改變閱讀順序；影響：組合的文字含有注入指令）
• TEXT_EXTRACTION：文字提取（漏洞：不可見 Unicode 字元和零寬文字；影響：看似乾淨的文字中隱藏指令）
• CHUNKING：分塊（漏洞：分塊邊界操縱；影響：注入內容出現在多個檢索塊中）
• EMBEDDING：嵌入（漏洞：語義嵌入操縱；影響：對抗性塊在不相關查詢中被檢索）
• LLM_PROCESSING：LLM 處理（漏洞：透過文件內容進行標準提示詞注入；影響：模型遵從文件指令而非系統提示詞）

PDF 特定攻擊

隱藏文字層注入

PDF 檔案支援多個文字層。可見層渲染讀者看到的內容，而隱藏文字層（用於使掃描文件可搜索）則被文字解析器提取。攻擊者可以添加包含對抗性指令的隱藏文字層，對人類檢視者不可見但可被文件 AI 提取和處理。

PDFHiddenTextInjector 類別的 create_pdf_with_hidden_text 方法建立帶有可見內容和隱藏文字層的 PDF：可見文字正常渲染，隱藏文字使用渲染模式 3（不可見）放置，但仍可被文字提取工具提取。此技術也可直接操縱原始 PDF 物件結構（_create_pdf_manual 方法），使用 PDF 流中的 3 Tr（不可見渲染模式）命令。

inject_into_existing_pdf 方法可在現有 PDF 的每一頁注入隱藏文字，並同時注入元資料欄位（/Author、/Subject、/Keywords）作為備份。

元資料注入

DocumentMetadataInjector 類別向 PDF 和 Office 文件的元資料欄位注入對抗性指令。可注入的 PDF 欄位包括 /Title、/Author、/Subject、/Keywords、/Creator、/Producer、/CreationDate、/ModDate；DOCX 欄位包括 title、subject、creator、keywords、description 等。

inject_exif_metadata 方法則向圖像的 EXIF 元資料注入，針對提取並處理嵌入圖像 EXIF 資料的文件 AI 系統（注入 ImageDescription、Make、Model 等欄位）。

OCR 利用

用於 OCR 混淆的對抗性印刷

OCRAdversarialTypography 類別使用同形字（視覺上相似但碼位不同的字元）和零寬 Unicode 字元，導致 OCR 系統以可控方式誤讀字元。

HOMOGLYPH_MAP 字典定義了視覺相似的替換：例如將 a 替換為西里爾字母 а（U+0430）、o 替換為希臘字母 ο（U+03BF）等。create_homoglyph_text 方法按指定的替換率（預設 30%）隨機替換字元，使文字對人類看起來完全相同，但 OCR 可能產生不同的輸出。

create_invisible_character_injection 方法使用零寬空格（U+200B = 0）和零寬非連接符（U+200C = 1）以二進位形式編碼隱藏載荷，分散插入到可見字元之間。可見文字顯示完全正常，但文字提取會揭露隱藏載荷。

版面配置操縱攻擊

create_layout_manipulation_html 函式使用 CSS 定位在 HTML 文件中放置對抗性文字：

• 絕對定位（absolute_positioning）：將注入文字放置在螢幕外（left: -9999px），版面分析系統先處理但 CSS 不渲染
• 溢出隱藏（overflow_hidden）：文字在高度和寬度為 0 的容器中被剪切
• 白底白字（white_on_white）：1px 的白色文字，使用 user-select: none 防止複製

防禦策略

文件清理管線

DocumentSanitizer 類別的 sanitize_pdf 方法應用多個清理步驟：

1. 重新渲染並 OCR：將 PDF 渲染為圖像再重新 OCR，破壞隱藏文字層，只保留可見內容（對隱藏文字和元資料注入效果：高）
2. 移除元資料：移除所有可能含有注入的元資料欄位（效果：完整）
3. 移除主動內容：移除腳本、嵌入檔案和表單動作（效果：完整）
4. Unicode 正規化：將同形字轉換為標準形式，移除零寬字元（效果：高）
5. 扁平化文件結構：將複雜版面配置轉換為線性文字流（效果：中）

detect_hidden_content 方法使用 pypdf 分析 PDF，檢查可疑元資料（值超過 100 個字元的欄位）和過多文字（每頁超過 5000 個字元，可能有隱藏文字）。

真實世界攻擊場景

測試方法論

1. 測試元資料注入：向每個元資料欄位添加對抗性指令，檢查系統是否處理元資料內容。

2. 測試隱藏 PDF 文字層：建立含有不可見文字的 PDF，驗證是否有隱藏文字被提取和處理。

3. 測試零寬字元編碼：使用零寬 Unicode 字元在可見文字之間嵌入指令，檢查模型是否回應隱藏內容。

4. 測試同形字攻擊：用視覺上相似的字元替換字元，驗證 OCR 是否以可利用的方式誤讀。

5. 測試版面配置操縱：建立視覺版面配置與解析文字流不同的文件，檢查透過重排注入指令的情況。

6. 測試跨格式一致性：以 PDF、DOCX 和 HTML 提交相同內容，比較每種格式的提取結果，找出格式特定漏洞。

參考資料

• Bagdasaryan, E. and Shmatikov, V. "Spinning Language Models: Risks of Propaganda-As-A-Service and Countermeasures." IEEE S&P (2022).
• Markowitz, J., et al. "Injection Attacks on Document AI: Exploiting the Document Processing Pipeline." arXiv preprint (2024).
• Carlini, N., et al. "Are aligned neural networks adversarially aligned?" arXiv preprint arXiv:2306.15447 (2023).
• Greshake, K., et al. "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection." AISec Workshop (2023).
• MITRE ATLAS framework — https://atlas.mitre.org
• OWASP LLM Top 10 — https://owasp.org/www-project-top-10-for-large-language-model-applications/