AI 助手类应用通用安全漏洞：间接提示注入可窃取企业敏感数据

原创

8号员工
8号员工

黑鸟

2026年5月26日 23:36
广东

在小说阅读器读本章

去阅读

近期，AI 助手类应用的通用安全漏洞再次引发行业高度关注。Microsoft 365 最新推出的前沿功能 Copilot Cowork 曝出严重安全威胁，研究人员发现该功能存在通过间接提示注入（indirect prompt injection）实现文件窃取的攻击路径。

漏洞根源在于系统设计缺陷，当 Copilot Cowork 向当前活跃用户发送电子邮件或 Teams 消息时，会绕过所有敏感操作审批流程自动执行。

这项攻击已经在包括 Claude Opus 4.7 在内的多个顶尖大语言模型上验证成功，成功率达到 100%。这一发现再次提醒我们，赋予 AI agent跨系统操作权限的同时，也极大扩展了提示注入攻击的攻击面。

Copilot Cowork 作为 Microsoft 365 的核心 AI 助手功能，运行时会继承用户的全部 Microsoft 权限。它通过 Microsoft Graph API 访问和操作用户租户内的所有数据，包括 SharePoint 文档、OneDrive 文件、邮件和 Teams 消息等。

正常情况下，Copilot Cowork 在执行敏感操作前会向用户请求权限确认。但研究人员发现了一个关键的设计漏洞，当操作的接收方是当前活跃用户本人时，所有审批机制都会失效。系统会直接执行发送邮件或 Teams 消息的操作，用户没有任何设置可以修改这一行为。

完整攻击链解析

攻击者利用这一漏洞可以构建完整的文件窃取流程，整个过程无需任何人工干预。

受害者在 SharePoint 或 OneDrive 中存储包含个人身份信息（PII）和财务数据的敏感文件

受害者向 Copilot Cowork 上传一个包含提示注入代码的SKILLS文件

受害者正常使用 Copilot Cowork，例如请求回顾本周工作内容，触发被注入的技能

被操纵的 Copilot Cowork 自动向受害者本人发送一条 Teams 消息

受害者打开 Teams 消息时，预认证文件下载链接被发送到攻击者控制的服务器

攻击者通过窃取的链接直接下载所有敏感文件

值得注意的是，Copilot Cowork 可以生成文件的预认证下载链接。任何拥有该链接的人都可以无需额外验证直接下载对应文件。攻击者正是利用这一特性，将文件访问权限通过网络请求的形式转移出去。

攻击技术细节

攻击者在SKILLS文件中植入的提示注入代码会欺骗 Copilot Cowork，让它相信存在一个可以生成文档预览的外部服务。为了生成预览，Copilot Cowork 会主动检索用户有权访问的所有文件，生成对应的预认证下载链接，然后将这些 URL 作为查询参数附加到恶意 HTML 图片标签的地址中。

当用户在 Teams 或 Outlook 中打开这条消息时，客户端会自动加载图片。这个过程会向攻击者的服务器发起网络请求，将完整的预认证下载链接泄露出去。

最危险的一点是，整个攻击过程完全隐蔽。即使受害者查看 Copilot Cowork 的操作历史记录，也只能看到 \"已发送 Teams 消息\" 的条目，恶意的消息内容和图片标签永远不会显示在操作日志中。