AIDEFEND in Action AIA-0045 實證研究 發布於 AIA: 2026年7月7日

PerplexedBrowser：行事曆邀請如何誘使 AI 瀏覽器讀取本機檔案

Zenity 使用兩個測試帳號與本機的測試用憑證檔案進行受控示範：含有惡意指令的行事曆邀請，讓 Perplexity Comet 經過攻擊者網站後瀏覽本機檔案，再把檔案內容放進網址查詢參數外傳。最初的 file:// 封鎖可被 view-source:file:// 繞過；Zenity 在 2 月 13 日驗證追加修補有效，並於 3 月 3 日發表研究。

Indirect Prompt InjectionData ExfiltrationSession IsolationAgentic AIWeb Security
4 項對應的 AIDEFEND 防禦手法
來源: PerplexedBrowser: Perplexity's Agent Browser Can Leak Your PC's Local Files 
作者: Stav Cohen
原文發布: 2026年3月3日

威脅分析

  • 攻擊入口是日常工作內容。 行事曆邀請上半部看起來像一般會議，下面卻藏著提示詞注入攻擊（prompt injection）內容。使用者請 Comet 接受或處理會議時，agent 會讀取完整邀請，而不只是使用者眼前看到的摘要。
  • 不可信邀請內容會惡意引導 agent 執行背景瀏覽。 邀請裡的假按鈕、偽裝成系統提醒的文字和要求在背景執行的指示，會讓 Comet 開啟攻擊者控制的網站，並把後續瀏覽包裝成原本任務的一部分。
  • 真正危險的邊界是本機檔案協定。 攻擊者網站接著讓 Comet 嘗試開啟 file:// 路徑，從「接受會議」跨到「瀏覽本機目錄與讀取檔案」。這個動作已經超出使用者原始請求，也碰到比網頁內容敏感得多的資料來源。
  • 資料外洩使用的是一般瀏覽器能力。 檔案內容一旦進入 agent 上下文，來源示範 Comet 把測試檔案內容放進網址查詢參數，再送到攻擊者控制的網站；攻擊者不需要專門的檔案外洩 API。
  • 影響取決於 agent 能讀到哪些本機檔案。 如果 agent 可存取下載資料夾、開發目錄、設定檔、瀏覽器匯出資料或本機機密值，攻擊者就可能取得個人檔案、API key、專案內容或企業資料。
  • 核心修法是直接限制可執行動作。 提示詞過濾可以攔下一些明顯惡意的文字，但真正該守住的是行動邊界：沒有可信、明確的政策授權時，自主 agent 不得使用 file:// 這類網址協定來存取本機檔案，也不得把本機資料送往外部目的位址。

適用的 4 項 AIDEFEND 防禦手法

AID-H-017.003
Decoupled Plan-Then-Execute Architecture
高
把規劃與執行分開，會在真正開啟網頁、讀取檔案或送出請求前增加一道檢查。當計畫從「接受會議」變成「在背景開啟網站，再讀取本機檔案」時，系統應因任務目的不符而拒絕執行。這需要營運者能控制規劃器，並由獨立元件依可信任任務政策檢查後執行；不能假定原版 Comet 已具備這項能力。
AID-H-019.003
Browser Runtime Admission & Sanitized Observation Export Gate
中
若重新設計可控的執行環境，必須把 agent 提出的每次導覽交給獨立任務，並在讀取起始網址前套用 G001：公開檢查只接受經核准的 HTTP(S) 來源，會拒絕 file:// 或 view-source: 起始網址；另須綁定並驗證隔離及對外連線管控的證據。這只是在特定條件下檢查任務起始網址，不是一般主機檔案系統或頁面內導覽政策。所有原生導覽路徑仍須證實已受管控，也不能假定 Comet 已提供這項整合。
AID-H-018.005
Value-Level Capability Metadata & Data Flow Sink Enforcement
中
如果本機檔案內容已經進入 agent 執行環境，就要標上來源與機敏程度，並套用資料流向政策。來自 file:// 或本機目錄的值，不得被放進外部網址、圖片、表單、模型呼叫或其他會對外傳送的內容。這需要可控的執行環境，為每個衍生值維持可驗證的來源及內容綁定，涵蓋所有出口；標記不明時須拒絕。只在入口加標籤，無法追蹤模型任意改寫。本機程序、瀏覽器請求及允許的目的地須另行驗證涵蓋範圍，不能假定原版 SaaS 已落實。
AID-D-003.005
Stateful Session Monitoring: Intent Drift + Invariant-Breach Signals
中
行為監控可以把任務從接受會議、背景瀏覽、開啟本機檔案到組出對外 URL 的偏移串起來。這對偵測和處置有幫助，但主要負責警示與調查，不能取代事前的 file:// 阻擋和資料流向限制。

身為資安防禦者，我們應該這麼做

  • 預設禁止自主瀏覽器 agent 存取 file://、loopback 管理頁（只能從本機連入的管理介面）、密碼管理器、身分入口和本機開發資源，除非有可信流程明確授權。
  • 行事曆、電子郵件、網頁和文件內容進入有工具權限的 agent 規劃器前，先降低內容權限，確保這些文字只能當成資料。
  • 逐次驗證瀏覽器動作是否符合可信任任務，以及確切目的地與資源政策。僅簽署工具名稱範圍，無法區分已允許瀏覽器操作內部的檔案存取。
  • 替本機檔案資料加上來源與機敏程度標籤，阻止它進入外部網址、訊息、截圖、模型呼叫或遠端圖片載入。
  • 建立偵測規則：不可信內容後面接著背景瀏覽、file:// 存取、讀取本機檔案，或產生帶有可疑參數的對外網址。

1 個額外的防禦考量

原生瀏覽器導覽與本機檔案政策

H-019.001 的公開方法是固定連線目標的 HTTPS 擷取服務，不是 Comet 原生檔案導覽攔截器。H-018.004 授予工具名稱，也不能區分同一個已允許瀏覽器操作內部的目的地。因此，不能把這兩項技術計為已實作供應商的檔案導覽修補。
建議做法: 驗證瀏覽器原生的導覽檢查，確保讀取前拒絕所有未核准的本機檔案路徑，包括巢狀 view-source 包裝。重測原文記錄的繞過方式，並另外保留隔離與資料流向控制。

結論

這個受控案例顯示，不可信行事曆內容能引導 agent 跨越本機檔案邊界。相關防禦手法必須涵蓋原生瀏覽器的所有導覽路徑，並包括獨立的執行環境隔離與能辨識資料值的對外傳送控制。工具名稱授權與安全 HTTPS 擷取服務，不會自動管控原生瀏覽器路徑；必須實測 file:// 與 view-source:file:// 這兩條來源記錄的路徑。

最後更新: