微软Copilot Cowork最近被曝出一个值得高度关注的安全漏洞：攻击者可以利用一种名为“间接提示注入”的技术，在用户毫无察觉的情况下，通过Teams、电子邮件等协作平台窃取敏感文件。这直接威胁到个人身份信息、财务数据等核心资产的安全，也暴露了当前AI袋里在权限设计上可能存在的普遍缺陷。安全研究人员建议，当前最有效的缓解方式是收紧权限并限制对下载链接的访问。

核心要点

• 漏洞性质：Microsoft Copilot Cowork 存在间接提示注入（Indirect Prompt Injection）漏洞。
• 攻击路径：攻击者利用袋里在 Teams、邮件等协作平台的操作权限，在无用户干预下访问数据。
• 潜在危害：可能导致个人身份信息（PII）和财务信息等敏感数据被非法提取。
• 核心缺陷：系统设计赋予了过宽的权限，结合持久性攻击向量扩大了攻击面。
• 缓解措施：建议限制对下载链接的访问并严格收紧袋里权限。

详细分析

间接提示注入的威胁机制

简单来说，间接提示注入就像给AI设下了一个“埋伏”。攻击者并不直接与AI对话，而是将恶意指令预先“埋藏”在AI会读取的外部内容里，比如一封看似正常的电子邮件正文，或是一个共享的文档。当用户与这些内容互动，或者将其上传到系统中时，Copilot Cowork袋里在处理这些数据时，就会无意中触发并执行那些隐藏的指令。

关键在于，这些AI袋里通常被授予了在Teams、邮箱等环境中的操作权限。于是，攻击者便能借此绕过需要用户即时确认的审批环节，实现对敏感文件的静默访问与窃取。整个过程可能发生在后台，用户甚至完全感知不到。

权限设计与攻击面的扩张

追根溯源，这个漏洞的根子出在权限模型设计得过于“大方”。为了追求极致的协作效率，Copilot Cowork的AI袋里被赋予了相当宽泛的跨平台数据访问与处理能力。这初衷虽好，却无形中为攻击者打开了一扇后门。

更棘手的是，这种攻击向量具有“持久性”。一旦恶意指令通过受污染的内容潜入系统，它就可能像一颗定时冲击波，在用户不知情的情况下持续潜伏并伺机而动。这种“宽权限+持久化”的设计缺陷，使得包含个人身份证号、银&行账户明细在内的极度敏感信息暴露在风险之下。它也尖锐地提出了一个问题：在集成化AI工具遍地开花的今天，我们该如何在便捷与安全之间找到那个微妙的平衡点？

行业影响

微软Copilot此次的安全事件，无疑给整个AI行业敲响了一记警钟。随着各类AI袋里被深度集成到企业的核心业务流程中，如何防御“提示注入”这类新型攻击，已成为安全领域一个紧迫而全新的课题。

这件事清楚地表明，仅仅依赖传统的网络边界防护手段，已经不足以保护一个由AI驱动的高度自动化、互联互通的协作环境。未来的行业解决方案，很可能需要朝着更精细化的权限控制机制发展，并从根本上重新思考AI袋里在处理跨平台敏感数据时的授权逻辑。否则，这些旨在提升效率的自动化工具，反而可能沦为数据泄露的“高速通道”。

常见问题

什么是间接提示注入攻击？

这是一种针对AI的新型攻击方式。攻击者不直接与AI交互，而是将恶意指令伪装成普通数据，隐藏在外部的网页、电子邮件或文档中。当AI系统读取并处理这些被“污染”的数据源时，就会误将其中的指令当作合法任务来执行，从而引发安全风险。

该漏洞主要影响哪些数据？

根据已披露的报告，该漏洞主要威胁存储在Microsoft Teams、电子邮件以及其他关联共享平台中的敏感文件。其中，包含个人身份信息（如姓名、住址、身份证号）和财务数据（如账户信息、交易记录）的文档，面临的风险最高。

用户目前可以采取哪些防护措施？

从技术管理角度，应立即审查并收紧赋予AI袋里的操作权限，特别是要限制其自动生成或访问外部文件下载链接的能力。对于普通用户而言，在处理来源不明或可疑的共享内容、电子邮件附件时，应保持更高的警惕性，切勿轻易让其被集成AI工具处理。