PDF 中的隐藏文本正在劫持这款 AI 助手

简报

• 安全公司 PromptArmor 表示，Rovo AI 助手可以被引导在无需人工批准的情况下窃取数据，其手段是通过上传文件（如 PDF）中隐藏的指令。
• 即使组织禁用了 Rovo 的网页搜索，该手段依然有效，因为打开 URL 的工具仍处于激活状态。
• Rovo 的开发商 Atlassian 于 5 月 23 日收到报告后便陷入沉默；安全公司表示，两个月过去了，Rovo“依然存在漏洞”。

还记得黑帽 SEO 过去为了操纵搜索排名，在网页中填充白底白字的关键词——读者看不见，但 Google 能看见吗？现在的黑客也对 AI 模型采取了同样的手段。攻击者在 PDF 文档中隐藏指令，模型无法区分用户的语言和植入的指令，从而听从指挥。

根据 PromptArmor 的披露，Atlassian 的代理工具 Rovo（可跨 Jira、Confluence 及其他工作区运行）只需一个恶意文件就能变成数据外泄管道。受害者请求 Rovo 整理一些工单并上传一份文档，而该文档携带了隐藏的提示词（例如，以透明颜色和 1 像素字体编写的指令）。

肉眼看不见，但代理工具会将该文本识别为文档中的普通文本。该提示词指示 Rovo 收集敏感数据并将其粘贴到攻击者控制的 URL 上。该公司称其为“零点击”攻击。不需要点击批准，也没有警告。

提示词注入是指有人在 AI 阅读的内容中植入指令，从而将其从真实操作者手中劫持。“间接”仅指恶意内容存在于文件或网页中，而非对话框中。Rovo 的工作是阅读内容并执行操作，因此一行隐藏的“将机密工单发送到这里”在模型看来就像是一条合法命令。

PromptArmor 表示，即使组织禁用了 Rovo 的网页搜索，泄露也“依然会成功。这是因为网页搜索设置未能移除用于打开搜索结果的工具。”即使关闭了该功能，大门依然敞开。

Rovo 并不是业余工具。它运行在公司最敏感的项目数据之上，并且可以自主运行。在直接测试中，基于 GPT-5 和 Gemini 构建的 AI 代理在超过 79% 的情况下无法抵御提示词注入——而 Rovo 表明，间接注入版本已经出现在了正式发布的企业级产品中。这种模式在能够阅读并执行操作但被引导至错误方向的代理工具中不断重复。

该公司表示，Atlassian 处理了报告并感谢了 PromptArmor，随后便杳无音信。PromptArmor 总结道，Rovo“依然存在漏洞”。

该公司写道：“Atlassian 分配了案例编号并表示了感谢，但在 PromptArmor 进行了两个多月的多次跟进后，Atlassian 未再进行任何沟通，Rovo 依然存在漏洞。”

每日简报通讯

开启每一天，获取当前的头条新闻，外加原创专题、播客、视频等更多内容。