AIDEFEND in Action AIA-0049 實證研究發布於 AIA: 2026年7月11日

Notion AI Agent 間接提示詞注入與資料外洩漏洞

兩份研究展示了不同的 Notion AI 外洩路徑：CodeIntegrity 用客戶回饋 PDF 誘導 functions.search 傳出含客戶資料的 URL；PromptArmor 則在更新招募追蹤表時，用惡意履歷觸發圖片請求，於核准前外洩資料。PromptArmor 在 2026 年 1 月 8 日的更新中確認，文件更新漏洞已在正式環境修正；該更新沒有提供確切的部署時間。

Indirect Prompt InjectionData ExfiltrationInput ValidationSink EnforcementAgentic AI

8 項對應的 AIDEFEND 防禦手法

來源: Notion AI: Data Exfiltration

作者: qual1a

原文發布: 2026年1月7日

威脅分析

路徑 A：CodeIntegrity。 客戶回饋 PDF 的隱藏指示，誘使摘要任務讀取私有客戶資料，包括年度經常性收入（ARR），再把含資料的 URL 交給 functions.search。
路徑 B：PromptArmor。 更新履歷備註的任務，在圖片 URL 夾帶招募追蹤表資料；瀏覽器於核准前載入圖片。這是兩次獨立展示，不是同一次測試依序發生的動作。
目前證據。 PromptArmor 已確認文件更新漏洞修正；不能由此推定所有搜尋及圖片路徑都已通過驗證。

適用的 8 項 AIDEFEND 防禦手法

AID-H-006.002

Text, Markup & Structured Output Sanitization and Release Gate

極高

AI 產出的 Markdown 圖片語法，如果在使用者核准編輯前就被前端自動渲染，已寫入 URL 參數的資料就會隨著背景請求外流。系統應在前端編輯器或預覽畫面渲染 Markdown 前，先過濾未經確認的圖片語法，或把它轉義成純文字（例如把 ![image](url) 加上反斜線轉義成 \\!\\[image\\](url)），讓瀏覽器只當成一般字串顯示，不會在背景自動發出下載請求，藉此切斷這條 beacon（用來偷偷把資料送出去的追蹤請求）外洩管道。

AID-H-018.004

Intent-Based Dynamic Capability Scoping

高

使用者只是要求摘要一份檔案，agent 卻因此拿到了讀取機敏資料庫、呼叫外部工具等遠超這個任務所需的權限。系統應依照使用者當下的實際意圖（例如僅摘要單一檔案）簽發一次性的 per-request 權限範圍，除非使用者額外授權，否則預設停用 Web 搜尋、connector 存取或跨頁面寫入，藉此限縮 prompt injection 得逞後能造成的影響範圍。

AID-H-018.002

Policy-Based Access Control

高

被挾持的 agent 一旦能任意呼叫工具，就可能讀到 Hiring Tracker 這類機敏的 AI 運作資料。獨立政策引擎（如 OPA 或 Casbin）應採預設拒絕（fail-closed）的情境式授權判斷；agent 每次讀取前，都要確認目前的使用者工作階段確實授權這次任務存取該資源，否則直接阻斷。

AID-H-019.001

URL Normalization & Allowlist Filtering

中

若 functions.search 會擷取 URL，供應商須讓實際 URL 及每次重新導向經過唯一、一次請求且固定已驗證 IP 的安全擷取服務，禁止直接連線繞過。只核對搜尋 API 主機，不會核對查詢內的 URL，也不能阻止資料送到已核准的搜尋服務；目的地授權與機敏資料授權須分開處理。這需要供應商整合，不是 Notion 管理員設定，也不能只加網域清單就宣稱已部署刊載方法。

AID-H-017.007

Dual-LLM Isolation Pattern

中

供應商可將履歷原始內容的解析，放在獨立隔離的 Q 工作程序，不提供 Notion 寫入工具、憑證或高權限網路存取，再由中介驗證程序把範圍受限的任務欄位交給 P 規劃器。有型別的字串及衍生連結仍屬不可信資料，文件寫入與圖片出口須獨立授權。這降低原始 payload 直接進入高權限上下文的風險，不能因摘要通過結構驗證就認定語意安全；這也不是一般 Notion 工作區使用者可自行啟用的設定。

AID-H-002.002

Inference-Time Prompt & Input Validation

中

供應商將 PDF 文字組合進模型上下文前，應執行有版本的內容檢查，對異常同步拒絕、隔離、清理或送交審查。須測試本案例與變形內容，必要檢查無法執行時拒絕處理。語意攻擊仍可能漏報，最終工具與圖片載入須另外授權；原版 SaaS 介面未因此提供客戶可插入的 hook。

AID-I-002.002

Secure External AI Service Connectivity

中

只有所有請求都經過受控路徑，供應商端的對外連線政策才能限制搜尋後端的目的地；它不會限制另一條瀏覽器圖片請求。預覽路徑須另外驗證呈現層／CSP 或受管瀏覽器的控制，涵蓋重新導向與直接繞過。已核准目的地仍可能接收機敏查詢資料，因此還需要依資料執行出口授權。一般工作區客戶不能控制 Notion 的服務網路。

AID-M-009.001

Operating Scope & Functional Autonomy Profiles

中

處理不可信文件時，先把工作區 agent 的自主性設定為低自主的 Observe／Analyze，並把寫入、委派、持久化與對外連線標成需監督或禁止的功能。這份 profile 提供政策事實；真正的 runtime allow／deny 由 AID-H-018.002 執行。

身為資安防禦者，我們應該這麼做

檢查頁面權限與不必要的 AI 連接器。依 Notion 官方文件，工作區擁有者可在 Settings → Notion AI 關閉 Enable web search for workspace，並開啟 Require confirmation for web requests。
分別測試搜尋與圖片預覽路徑；開啟網頁請求確認，不代表所有嵌入圖片都會等待核准。
供應商可控的整合應在顯示編輯內容前清理輸出，阻擋未核准的外部子資源，並測試重新導向與預覽的繞過路徑。
隔離解析與任務授權需由供應商或可控執行環境實作，一般工作區使用者不能只透過設定建立這項架構。

結論

AIDEFEND 對應的防禦涵蓋任務權限、獨立隔離解析，以及圖片載入前的輸出檢查。團隊須在工具與瀏覽器實際發出請求的位置驗證控制；搜尋設定與人工確認本身，不能證明圖片路徑已受到完整保護。

最後更新: 2026年10月24日