微软Copilot漏洞致M365文件泄露 间接提示词注入风险解析
安全研究机构近期披露，微软Copilot Cowork存在一个严重的间接提示词注入漏洞。攻击者能够利用该漏洞，从Microsoft 365租户中窃取文件。问题的核心在于，系统对发送电子邮件和Teams消息的自动操作审批机制存在缺陷，使得攻击者可以在无需用户手动确认的情况下，触发数据外泄。这项研究不仅揭示了AI智能体在跨系统集成时面临的安全风险，也对微软关于“敏感操作需人工审批”的安全承诺提出了直接挑战。
核心要点
- 漏洞机制：攻击者通过“中毒技能”（Poisoned Skill）实施间接提示词注入，诱导Copilot Cowork执行非授权操作。
- 审批缺陷：尽管微软声称敏感操作需人工许可，但发送给当前用户的邮件和Teams消息却能自动通过审批。
- 数据外泄路径：利用Microsoft Graph读取租户数据，并通过受控消息触发网络请求实现数据回传。
- 模型影响范围：该攻击在包括Claude Opus 4.7在内的多种尖端大模型上均表现出极高的成功率。
- 额外风险披露：研究人员还向微软披露了一个可直接从Copilot Cowork沙箱环境导出数据的独立漏洞。
详细分析
间接提示词注入与自动审批漏洞
根据Prompt Armor的研究，Microsoft Copilot Cowork作为一项前沿功能，拥有访问用户Microsoft Graph并操作租户数据的权限。然而，该系统在处理“敏感操作”时存在逻辑漏洞。虽然微软的官方文档明确指出，Copilot在发送电子邮件或发布Teams消息等敏感行为前会征求用户许可，但实际测试发现，如果消息的接收者是当前活动用户，系统会自动批准该操作。攻击者可以利用这一特性，通过注入恶意指令（即间接提示词注入），在用户不知情的情况下让AI袋里发送包含敏感信息的消息。
攻击链条：从数据读取到外部回传
攻击的实现依赖于Copilot Cowork对多系统访问权限的滥用。首先，攻击者通过一个被“污染”的技能或外部输入触发提示词注入。随后，Copilot利用其合法的Microsoft权限，通过Microsoft Graph API读取租户内的私密文件。由于发送给用户自身的Teams或Outlook消息不需要人工干预，AI会将读取到的数据封装在这些消息中发送。当用户在客户端打开这些受损消息时，消息中嵌入的特定元素会触发由攻击者控制的网络请求，从而完成数据的最终外泄。这种方式巧妙地绕过了传统的安全防御边界。
系统设计层面的结构性风险
研究指出，这一漏洞并非源于某个特定的代码Bug，而是由于AI袋里在企业生态系统中被赋予了过大的委派权限。当AI袋里被允许跨多个系统（如邮件、即时通讯、文档存储）进行集成操作时，其受攻击面会呈指数级增长。原本看似无害的单一功能，在多系统联动下可能演变为致命的安全威胁。这种风险反映了当前AI智能体产品在设计理念上的权衡难题：如何在保证自动化效率的同时，防止袋里权限被恶意指令劫持。
行业影响
此次微软Copilot Cowork的漏洞披露为整个AI行业敲响了警钟。它证明了即使是目前最先进的模型（如Claude Opus 4.7），在面对精心设计的间接提示词注入时依然脆弱。这表明，AI安全不能仅仅依赖于模型本身的对齐，更需要在系统架构层面建立严格的零信任机制。对于企业用户而言，这标志着在使用具备跨系统操作能力的AI袋里时，必须重新评估其带来的潜在数据泄露风险，尤其是在涉及Microsoft Graph等核心敏感数据源时。
常见问题
问题 1：什么是间接提示词注入（Indirect Prompt Injection）？
间接提示词注入是指攻击者通过外部数据源（如网页、文档或第三方技能）向AI模型输入恶意指令。当AI处理这些包含恶意指令的信息时，会误将其视为合法的操作指令并执行，从而导致非预期的行为，如泄露私密数据。
问题 2：为什么发送邮件和Teams消息不需要审批？
在Copilot Cowork的当前设计逻辑中，系统认为发送给“当前活动用户”自身的消息是安全的，因此为了提升用户体验，省略了人工审批环节。然而，攻击者正是利用了这一信任漏洞，将这些消息作为数据外泄的中转站。
问题 3：该漏洞是否已经得到修复？
研究人员已将相关风险公之于众，旨在提醒用户在使用此类智能体产品时需承担的风险。同时，他们也向微软披露了一个关于沙箱数据外泄的特定漏洞。目前用户应关注微软后续的安全更新及权限管理策略的调整。
相关攻略
在VSCode中激活Copilot内置性能探针，通过监听事件总线或注入自定义钩子，捕获首次令牌时间、完全响应时间和内存增量等核心指标。还可搭建实时看板监控，或导出历史记录进行延迟趋势分析，精准定位性能瓶颈。
使用GitHubCopilot可三步定位开源项目核心逻辑：先通过网页端总结仓库概览，再在VSCode中精读入口文件与函数，最后逐层解析模块依赖并生成带行号的可执行学习笔记，快速理解陌生代码。
微软CopilotCowork存在间接提示词注入漏洞，可导致Microsoft365租户文件泄露。攻击者利用系统对发送邮件和Teams消息的自动审批缺陷，无需用户确认即可触发数据外泄。该漏洞揭示了AI智能体在跨系统集成时的安全风险，并对微软敏感操作需人工审批的安全承诺构成挑战。
GitHubCopilot可自动生成Python调用C++动态链接库的ctypes封装代码，实现跨平台DLL加载、自动类型映射、异常防护及文档测试。需手动确认DLL路径有效，并能根据报错修正指针或结构体类型不匹配问题。还可一步生成带Google风格文档和pytest测试用例的完整模块，覆盖边界条件。
CopilotCLI可基于项目结构与语言栈自动生成带环境隔离与失败回滚的Jenkinsfile和 gitlab-ci yml。需先完成身份验证并指定--allow-tool=shell，GitLabRunner必须启用dind服务，还可嵌入GitHubActions自动触发。
热门专题
热门推荐
《Paralives》开发商承诺所有后续更新永久免费，拒绝付费DLC模式。15人小团队依靠首发销售额即可支撑多年运营，无需依赖额外内容包维持开发，展现了与《模拟人生》系列不同的差异化竞争思路。
2025年5月28日，比亚迪王朝网全新力作——宋Ultra DM-i正式推向市场，共推出5款配置车型，官方售价区间为12 99万至15 99万元。此次定价策略极具突破性：一款拥有310公里纯电续航能力的中型插电混动SUV，直接下探至13万元级别市场。作为王朝网络的新旗舰，该车明确瞄准高频出行需求场景
先来关注一个有趣的细节：苹果首款折叠屏手机，传闻将于今年秋季正式亮相。产品命名可能为iPhone Ultra，也有媒体称之为iPhone Fold——无论最终叫什么，这都将标志着苹果在折叠形态领域首次“出手”。 近日，配件厂商iFunSmart已率先上架iPhone Ultra的首批保护壳——这绝非
山寨币ETF迎来批量上市潮，首批项目市场表现如何？一文分析 Binance币安 欧易OKX ️ Huobi火币️ 最近，市场出现了一个不容忽视的新动向：XRP、DOGE、LTC、HBAR等现货ETF已经悄然登陆美国市场。与此同时，A VAX、LINK等资产的同类产品也正在审批流程中。进入11月以来，
近日，公司对SteamDeck1TBOLED版涨价300美元至949美元，上架短短不到24小时便再度售罄。据外界分析，该公司从中国大量补货并分批投放库存，高溢价未影响众多玩家的抢购热情与速度，其人气极其旺盛无比足以支撑快速清空。