微软Copilot曝首个零交互AI漏洞：一封普通邮件静默泄露企业敏感数据

近日，一项名为“EchoLeak”的高危漏洞披露，揭示了微软Copilot等AI助手在企业环境中的隐秘风险——攻击者无需诱骗点击、无需植入恶意附件，仅凭一封“看似正常”的电子邮件，即可通过语义操控绕过权限边界，悄然窃取企业最敏感的数据。整个过程“零交互”，用户无感知，安全系统无告警。

这是首个被公开验证的零点击AI Agent漏洞，也标志着“语义层攻击”从理论走向现实：当AI开始自动解析、总结、生成内容，它也在悄然重构信息边界，乃至攻击面。我们该如何定义AI Agent的信任边界？传统的权限模型和输入过滤还能抵挡语义操控吗？

EchoLeak 由安全厂商 Aim Security近日披露，影响对象为微软 Microsoft 365 Copilot 助手。该漏洞已被官方编号为 CVE-2025-32711。

EchoLeak 并不是传统意义上的代码漏洞，而是 LLM 系统在面对输入指令时“本能顺从”的副作用。

攻击者通过一封“看似无害”的电子邮件，诱导AI Copilot自动执行提示注入（Prompt Injection），并将本应受保护的数据，通过精心构造的链接或图像URL外传至攻击者服务器。整个过程中，用户无需点击、无需回复、甚至无需察觉。

这类攻击被命名为“LLM作用域越权”（LLM Scope Violation），其本质是利用AI助手对语义输入的“默认信任”，让低权限输入源（如外部邮件）渗透并操控AI对高权限内容的生成逻辑，突破原有访问边界。

微软第一时间进行了漏洞修复，并表示目前未监测到任何实际攻击事件。然而微软同时坦言：此次漏洞暴露了Copilot在处理输入信任边界与上下文管控机制方面的短板。微软承诺将推动“防御纵深”战略，进一步加强提示检测、上下文校验与输出策略等安全机制。

此事件背后，隐藏着Copilot系统性设计上的三大安全盲区：

EchoLeak并不是AI助手第一次被利用，但它是首次在无需用户参与的场景中，构造完成提示注入+数据泄露闭环的公开案例。它的出现，揭示了AI安全从“静态输入防御”迈向“语义通路治理”的必然趋势。

业界安全专家普遍认为，EchoLeak 并非孤例。这种基于提示注入的新型攻击模式，可能同样适用于Google Gemini、ChatGPT企业版、Notion AI、Slack AI插件等类似 LLM 产品。Aim Security 联合创始人兼 CTO Adir Gruss 表示：“提示注入已经成为 AI 安全的核心战场，每一个开放提示能力的 AI 产品，都必须将‘输入即攻击面’作为基本设计前提。”

在这一背景下，企业在思考 AI 安全策略时，必须跳出模型本身，开始构建覆盖提示注入、上下文调用和自动执行链的语义级治理能力。为此，以下三点或可成为企业AI安全治理的参考：

当AI成为“默认助手”、自然语言成为“系统指令”，每一段文本都可能是一把钥匙，撬开本不该打开的门。AI系统的安全治理，应超越“输入验证”或“模型对抗”，进入“提示通道管理”、“上下文隔离治理”与“AI代理权限模型”三位一体的新阶段。

当语言变成指令，当协助变成攻击通路，Copilot式AI的未来，需要我们共同重构“信任边界”。

消息来源：

https://thehackernews.com/2025/06/zero-click-ai-vulnerability-exposes.html

https://www.darkreading.com/application-security/researchers-detail-zero-click-copilot-exploit-echoleak