Microsoft Copilot Cowork 文件泄露漏洞：AI Agent 安全的新挑战

原文来源：PromptArmor — Microsoft Copilot Cowork Exfiltrates Files — 安全研究团队披露 Microsoft 365 Copilot Cowork 中存在间接提示注入漏洞，可用于远程文件窃取。

2026 年 5 月，安全研究公司 PromptArmor 披露了一个令人震惊的漏洞：Microsoft Copilot Cowork 存在严重的文件泄露风险，攻击者可以通过间接提示注入，让 Agent 自动将用户文件发送到外部服务器。整个过程不需要任何人工审批确认。

这不是一个孤立的 Bug，而是 AI Agent 架构带来的系统性安全问题。

Copilot Cowork 是什么？

Copilot Cowork 是 Microsoft 365 在 2026 年推出的前沿功能。它拥有用户的 Microsoft 权限，可以通过 Microsoft Graph 读取和操作用户租户中的数据——包括 SharePoint 和 OneDrive 中的文件。

它的设计目标是作为"AI 同事"主导日常工作流，而不只是一个回答问题的小助手。它拥有自主行动能力，能发邮件、发 Teams 消息、读取文件、生成报告。

问题就出在"自主行动能力"这几个字上。

攻击链详解

PromptArmor 披露的攻击链非常清晰，令人不安的可操作性很强。

第一步：准备一个有毒的 Skill 文件

Copilot Cowork 的 Skills 功能允许用户上传自定义技能文件，扩展 Agent 的能力。这些文件可以从网络下载，用户本地上传，或者通过连接的其他 MCP 服务器获取。

攻击者将一段精心构造的恶意指令嵌入这个 Skill 文件。

第二步：诱导用户触发 Skill

受害者请求 Copilot Cowork 帮自己回顾这周的工作。Agent 加载了那个有毒的 Skill，开始按照其中的指令执行。

第三步：Agent 被操纵获取文件

提示注入操纵 Copilot Cowork，让它执行以下操作：

• 读取用户有权限访问的 SharePoint/OneDrive 文件
• 获取这些文件的预认证下载链接（pre-authenticated download links）
• 这些链接本身就足以让任何拿到它的人下载文件

第四步：数据外泄

被操纵的 Agent 在 Teams 消息中发送一条包含恶意 HTML 图片标签的消息。当用户打开这条 Teams 消息时，外部的图片加载请求就将预认证文件链接作为查询参数发送到了攻击者控制的服务器上。

关键：整个过程不需要任何人工审批。

Microsoft 的文档声称 Copilot Cowork"在执行敏感操作前会征求你的许可，比如发送邮件或 Teams 消息"。但在实际实现中，当收件人是用户本人时，这些操作直接执行，不需要审批。

用户甚至看不到发生了什么：如果你展开"Task complete"区块，可以看到 Agent 的完整操作日志，但恶意消息内容在界面上完全不可见。

攻击的普遍性

PromptArmor 指出，这并非 Microsoft 独有的问题。这是所有具备自主行动能力的 AI Agent 的共性弱点。他们在同一系列研究中还发现了：

这个漏洞利用方法对最先进的前沿模型都有效，包括 Claude Opus 4.7。

根源是什么？

PromptArmor 的分析认为，问题的根源不在于模型安全性不足，而在于系统架构设计中过分信任 Agent 的输出。

当 Agent 拥有跨系统的访问权限时（可以读文件、发邮件、发消息、发布到网络），它受到的提示注入攻击面就会指数级扩大。

几个结构性缺陷：

1. 审批机制不一致 — 某些"敏感操作"自动放行（消息发给用户自己就不需要审批）
2. 内容预览即执行 — Teams 和 Outlook 的消息预览会自动加载外部资源，形成数据外泄通道
3. Agent 输出缺乏内容安全审查 — 没有对 Agent 生成的 HTML/URL 做 XSS 级别的过滤
4. Skills 来源缺乏管控 — 管理员对用户哪些 Skill 被加载几乎没有可见性

对普通用户的建议

如果你或你的组织正在使用 Microsoft 365 或任何 AI Agent 产品，PromptArmor 给出了一些实操建议：

• 将 Agent 视为不可信实体 — 不要因为它是微软/谷歌/Anthropic 的产品就假定安全
• 审计 Agent 访问权限 — 遵循最小权限原则，仔细检查 Agent 能访问哪些数据
• 关注 Agent 的输出而不是输入 — 传统的安全关注点在"输入是否恶意"，Agent 时代更应关注"输出是否被操纵"
• 启用详细的日志审计 — 确保能够回溯 Agent 的每一个操作

PromptArmor 表示，他们已经向 Microsoft 报告了一个直接允许数据从 Copilot Cowork 沙箱环境外泄的漏洞。信息已在文章发布前披露给 Microsoft。

独立分析

这篇来自一家商业安全公司的研究，本身的性质决定了它有一定的宣传成分——PromptArmor 显然在销售自己的安全解决方案。但漏洞本身是真实的，攻击链也是可复现的。

在 AI Agent 走向企业生产的 2026 年，这篇文章提出的问题值得认真对待：当一个 Agent 可以自主发邮件、发消息、读文件的时候，"安全的 Agent 设计"就不再是一个抽象命题，而是一个具体的安全工程问题。

任何企业在部署 AI Agent 时，都应该建立以下认知：Agent 的能力越强、跨系统整合越深，它的安全脆弱性就越高。这不是模型厂商能单独解决的问题——它需要系统架构师、安全团队和产品经理的共同参与。