AIDEFEND in Action AIA-0114 實證研究發布於 AIA: 2026年10月26日

Now Assist：工單中的指示誘導 Agent 借用同團隊的高權限工具

AppOmni 測試了以 AI agent 處理服務管理工作的 ServiceNow Now Assist。低權限使用者把指示放進工單；管理者啟動分類 agent 後，工單文字誘導它找上同團隊可探索到的紀錄管理 agent。受控測試成功把受保護工單的內容複製到攻擊者可讀取的工單。這展示的是特定設定下的授權邊界問題，不是廠商證實的正式環境惡意入侵。

Indirect Prompt InjectionTool AuthorizationHuman-in-the-LoopA2A SecurityEnterprise AI

8 項對應的 AIDEFEND 防禦手法

來源: When AI Turns on Its Team: Exploiting Agent-to-Agent Discovery via Prompt Injection

作者: Aaron Costello

原文發布: 2025年11月19日

威脅分析

資料欄位誘導了工作委派：分類時讀到的惡意工單說明，讓 agent 轉而尋找高權限同團隊 agent。探索機制本身合法，但資料作者沒有因此取得後續操作授權。
外洩路徑經過兩張工單：受保護工單被讀取後，再複製到攻擊者可讀工單。已展示的損害是工作流程造成資料暴露，不是攻擊者直接通過原始工單的 ACL。
實際設定決定路徑能否成立：可探索團隊、工具權限與自主設定，都會影響結果。研究建議限制團隊與使用需監督工具，並未宣稱廠商有適用所有部署的修補程式。

適用的 8 項 AIDEFEND 防禦手法

AID-H-017.002

Least-Privilege Tool Architecture

高

分類工作只提供限定於本次工單與必要欄位的型別化操作，不讓它透過同團隊 agent 取得廣泛的紀錄讀寫工具。在工具或服務邊界限制允許的紀錄 ID 與回傳欄位，並使用最小權限後端身分。指引中的資料庫範例需改接 ServiceNow，實際測試 ACL 與工具分派，不能只下唯讀提示。這能阻止把受保護工單複製到攻擊者工單的路徑。

AID-H-018.003

High-Impact Independent Validation & Approval Gate

高

高權限工具維持需監督模式，執行前取得與來源工單、目的工單、欄位及操作完全綁定的人工核准。確認 sn_aia.enable_usecase_tool_execution_mode_override 不會讓所有工具轉成自主模式。平台原生監督模式是有用基礎；要完整實現動作綁定授權，仍可能需要額外整合。管理者開始分類，不等於同意把受保護工單複製到別處。

AID-H-004.006

Hosted Agent Publication & Exposure Controls

高

租戶管理者應依用途與資料機敏程度分開 agent 團隊／通道，避免低可信度工作流程找到高權限同團隊 agent，並把允許工具及身分綁定到已核准的發布版本。必須使用 ServiceNow 原生的團隊、通道與工具限制；指引中的 Power Platform 範例不是 ServiceNow 設定步驟。每次分享或工具變更後，都要從已發布的低可信度工作流程測試探索與執行是否被拒絕。

AID-H-004.003

Secure Agent-to-Agent Communication

高

在紀錄管理 agent 的接收邊界，平臺開發者可驗證由伺服器簽發的委派內容，包含管理者啟動的分類任務、雙方 agent、允許的工單與能力、期限及 nonce。分派前就拒絕超出任務範圍的受保護紀錄讀取與複製。任務範圍必須來自可信工作流程，不能由工單說明或另一個 agent 自行聲稱。這需要原生或自訂整合，不假設 ServiceNow 使用標準 A2A 傳輸協定。

AID-H-018.002

Policy-Based Access Control

高

在最後呼叫紀錄服務的元件，依可信任務與委派資料，核准確切工單、欄位、操作及工作。分類工作不會只因服務身分是管理者，就有權讀取 INC0000001。後端也須強制使用同一物件與版本，並測試直接呼叫及委派工具等替代路徑。若平台沒有無法繞過的檢查介面，就需要 ServiceNow 端客製或供應商支援。

AID-H-018.005

Value-Level Capability Metadata & Data Flow Sink Enforcement

高

紀錄移轉功能的開發者，可在伺服器持有的內容代號上保留來源工單的機密等級與允許讀者，複製欄位前，再與目的工單真正的 ACL 比較。若目的工單讓來源未授權的人也能讀取，就拒絕移轉。所有支援的轉換都要保留標記，缺少標記或改走任意文字路徑時也拒絕；只比對目的位址字串或採信模型自行標記並不足夠。即使讀與寫工具各自獲准，這項措施仍能限制資料去向。

AID-H-017.007

Dual-LLM Isolation Pattern

高

自訂分類流程可讓沒有紀錄管理工具的低權限模型工作程序，單獨讀取原始工單。經過範圍明確的驗證元件後，只傳遞有限選項中的分類結果，以及由伺服器解析的工單 ID，給高權限工作程序；不傳任意文字摘要或建議動作。身分、資料權限與執行路徑必須分離，也要確認高權限端不能另走其他路徑讀取原始說明。這是需要平台介面的架構調整，不是原生開關，也不是使用兩個模型就能安全。

AID-M-007.002

Release Conformance Gate for Safety Boundaries

高

以已簽署、綁定發布版本的安全規格，明定分類工作不能讀取或複製其他受保護工單。針對真正發布的 agent、團隊及工具版本，測試與來源相同機制的惡意工單和正常對照案例，再由獨立的紀錄觀察者確認沒有未授權讀寫。證據不完整或邊界失效，就阻擋發布。這項上線前檢查需要已簽署的完整測試集與後端觀察，不能只看模型回答已拒絕提示詞。

身為資安防禦者，我們應該這麼做

依用途分開 agent 團隊與通道。從已發布的低可信度工作流程測試能探索及呼叫哪些 agent，設定變更後重新驗證。
以綁定本次工單及必要欄位的操作，取代廣泛紀錄工具，並在後端權限強制執行。
高權限操作維持需監督模式，確認自主覆寫設定。核准必須針對確切的紀錄移轉，不能把管理者最初啟動工作當成全面委派。
具備整合介面時，落實接收端委派檢查、最後紀錄授權與來源到目的工單的資料流向限制。自訂分類器可用隔離的原始文字工作程序，只傳遞有限類型的結果。發布前針對完整部署版本，測試是否產生未授權受保護紀錄存取。

結論

AIDEFEND 將防禦手法放在發布、原始工單處理、委派接收與最後紀錄操作等邊界。獨立資料流向檢查，可阻止一次獲准讀取變成另一張工單的資料外洩；發布測試則驗證真正部署的限制。原生設定沒有這些檢查點時，就需要自訂整合或供應商端介面。

最後更新: 2026年10月26日