为什么一份被污染的文档能悄无声息地窃取我的助手所了解的关于我的一切？

2025 年 6 月，Aim Security 披露了 EchoLeak，这是首例有据可查的零点击提示注入攻击，导致生产 AI 系统中发生真实数据泄露。一封恶意电子邮件导致 Microsoft Copilot 在无需用户交互的情况下静默传输敏感数据。结构性问题在于，具有持久记忆和工具调用权限的 AI 助手结合了两种危险属性：它们持有积累的个人上下文，同时可被诱使执行嵌入在不受信任内容中的指令。助手读取的每一份新文档、电子邮件或网页都是潜在的指令面。用户信任助手保存的记忆与助手从外部内容遵循的指令之间没有隔离边界，而现有的沙箱提案只针对工具调用，并不涉及记忆读取访问。