微软 Copilot Cowork 曝严重安全漏洞：间接提示词注入可致企业机密外泄

核心看点

微软 Microsoft 365 中的 AI 智能体 Copilot Cowork 被安全研究机构 PromptArmor 曝出存在严重安全风险。攻击者可通过”间接提示词注入”手段，操纵 AI 智能体窃取 SharePoint 与 OneDrive 中的企业机密文件，且测试显示 5 次攻击 5 次成功，成功率高达 100%。

详细解析

什么是 Copilot Cowork？

Cowork 是微软 Microsoft 365 Copilot 的智能体 AI 服务，可代替用户执行发送邮件、发布 Teams 消息、创建文档、安排会议和检索组织内部信息等操作。微软官方说明该服务只在用户权限范围内活动，涉及高敏感操作时应弹出审批对话框。

攻击原理：间接提示词注入

PromptArmor 发现的攻击方式名为”间接提示词注入”（Indirect Prompt Injection）。攻击者无需直接给 AI 下命令，而是将恶意指令藏匿于网页、邮件、文档或文件中。由于 Cowork 可跨邮件、Teams、文档与企业云盘协同工作，一旦读入带恶意指令的外部内容，就可能按攻击者意图操作用户可访问的数据。

具体攻击链演示

在一个示例中，攻击者通过 Agent Skills 文件传播恶意指令。该文件表面上命名为”weekly-review”，描述为回顾过去 7 天工作并把总结发到 Teams，看起来像普通办公自动化模板。

用户调用 Cowork 处理该 Skills 文件后，恶意提示词操纵智能体谎称需要生成文档预览，继而抓取相关文件的预认证下载链接，并将这些链接嵌入恶意 HTML 图片标签，最终通过 Teams 消息发回给用户。

整个过程中无需人工批准，且恶意消息内容未必会被用户明显看到。只要用户打开被入侵的消息，预认证下载链接就可能被外传，攻击者可直接访问链接下载文件。

风险被进一步放大

研究者指出，管理员对”技能”的可见性有限，因为 Copilot Cowork 会从用户 OneDrive 指定路径自动加载技能，增加了治理难度。测试显示，该攻击不只在 Auto 模式下成功，在明确指定 Claude Opus 4.7 时同样成功，且 Opus 4.7 会检索更广范围的近期文档，连先前 Cowork 会话涉及的文件也可能被纳入外流范围。

更危险的是，Cowork 的定时执行能力会放大风险。像周报汇总这类任务适合自动运行，若恶意技能文件被设为周期任务，用户不在屏幕前时也可能反复触发。

简评

这并非 AI 智能体首次暴露安全问题，但 Copilot Cowork 的特殊之处在于它直接嵌入企业核心办公流程，拥有访问邮件、文档、日程的广泛权限。”间接提示词注入”攻击的隐蔽性极高——用户甚至不会意识到自己点击了一封正常的 Teams 消息就触发了数据泄露。

对企业而言，这敲响了警钟：在部署 AI 智能体时，不能仅依赖厂商的安全承诺，需要建立更严格的技能文件审核机制、限制自动执行权限，并对 AI 的跨应用操作增加人工确认环节。AI 的便利性不应以牺牲安全性为代价。