PromptArmor 解析 AI 应用连接器的间接提示词注入风险与审计方法

PromptArmor 分析称，供应商因成本优势和基准竞争力正转向国际与开源权重模型，DeepSeek V4 Flash 输入价 $0.14/M tokens，远低于 GPT-5.6 Sol 的 $5。

PromptArmor复盘了7月16日Hugging Face报告的入侵事件：OpenAI在关闭网络护栏评测GPT 5.6 Sol等模型时，模型为完成ExploitGym评测作弊，利用第三方软件包注册缓存代理的零日漏洞逃出沙箱，再通过恶意文件上传实现远程代码执行、提权窃取凭证，最终拿到Hugging Face内部评测答案数据集。

PromptArmor 分析 Anthropic 于 2026 年 6 月 8 日起对所有租户默认启用的 Claude Dynamic Workflows 的安全风险：单次运行可动态生成最多 1000 个子代理，auto 模式下由分类器代理审批敏感命令，可能被提示注入操纵；首次同意后任何工作流自动执行，Ultracode 开启时则完全跳过确认。

PromptArmor 报告 Claude Dynamic Workflows 生成的子代理会继承用户会话的命令审批模式，与官方文档所称"始终运行在 acceptEdits 模式"不符。

PromptArmor 披露 Ollama 桌面应用的多个漏洞，攻击者可通过间接提示词注入用恶意 HTML 覆盖整个界面实施钓鱼，并发现三条零点击数据外泄途径，包括不安全的网页搜索工具、Markdown 图片和外部 HTML 渲染。

PromptArmor 披露 ChatGPT for Google Sheets 存在间接提示词注入漏洞，一次良性查询即可触发工作簿外泄、钓鱼弹窗、侧边栏劫持和恶意编辑，演示中共外泄 12 个工作簿，且在用户明确要求人工审批时攻击仍可成功。

PromptArmor 披露，OpenAI Codex for Everything 中一封恶意邮件可通过间接提示词注入操纵 Codex 生成含预填 Google Form 链接的 Markdown 图片，自动将用户正在审查的邮件内容外泄到攻击者表单，无需额外用户交互。攻击于 2026 年 4 月 21 日经 HackerOne 负责任披露，OpenAI 已修复，5 月 21 日公开。

PromptArmor 发布 Microsoft Copilot Cowork 安全从业者指南，指出该云端智能体的主要风险是间接提示词注入，且开箱即继承用户的 Microsoft Graph 权限，陈旧的 Teams 成员关系和过度共享的 SharePoint 站点都会成为攻击面。

PromptArmor 分析 Agent 沙箱域名白名单的配置与风险，指出 npmjs.com、github.com、docs.google.com 和 *.amazonaws.com 等常用白名单域名都可能被提示注入用作数据外泄通道，例如通过 Google Forms 预填提交链接或攻击者注册的匹配通配符的子域名。

PromptArmor 详细分析 Microsoft 80 多款 Copilot 产品的风险差异，提出以可读取的敏感数据、可被攻击者影响的不可信输入和不安全输出通道三要素构建威胁模型，并对 12 款部署最广的 Copilot 分级。