Expediente notion-agent-pdf-exfilInyección de promptsEstados Unidos
Agentes de Notion 3.0 engañados con PDF de texto blanco para filtrar datos de clientes vía búsqueda
Abi Raghuram de CodeIntegrity demostró que un PDF con texto blanco oculto podía hacer que un agente de Notion recopilara nombres de clientes, empresas y ARR y los pasara en una URL a su herramienta de búsqueda web. Notion añadió detección y aprobación de enlaces.
MediaAtaque a la IAEstado: ParcheadoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 19 sept 2025
- Ubicación
- Estados Unidos
- Objetivo
- Agentes de Notion AI (Notion 3.0)
- Gravedad
- Media
- Provocado por
- Abi Raghuram (CodeIntegrity)
- Tipo de actor
- Investigadores de seguridad
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Abi Raghuram de CodeIntegrity demostró que un PDF con texto blanco oculto podía hacer que un agente de Notion recopilara nombres de clientes, empresas y ARR y los pasara en una URL a su herramienta de búsqueda web. Notion añadió detección y aprobación de enlaces.
Impacto: Cualquier usuario que resumiera un PDF malicioso podía filtrar datos del espacio de trabajo; sin víctimas reales reportadas
Quién lo provocó
Actor: Abi Raghuram (CodeIntegrity)
Atribución: Prueba de concepto pública; Notion respondió con cambios en el producto
Motivo: Investigación de seguridad
Cómo ocurrió
Vector de ataque: Inyección indirecta de prompts en un PDF subido; la herramienta de búsqueda del agente aceptaba URL arbitrarias, por lo que la exfiltración se apoyaba en una llamada legítima a una función
Causa raíz: El agente combinaba acceso privado al espacio de trabajo, contenido de archivos no confiable y una herramienta web saliente sin aprobación de enlaces
Cronología
- Se lanzan los agentes de Notion 3.0
- CodeIntegrity publica la demostración de exfiltración
- Notion anuncia detección de inyecciones más amplia, avisos de aprobación de enlaces y control administrativo para desactivar el acceso web
Respuesta
Notion mejoró la detección de inyecciones en adjuntos, exigió aprobación de los enlaces generados por el modelo y permitió a los administradores desactivar el acceso web de los agentes
Estado actual: Parcheado
Fuentes (pestaña nueva)
- Simon Willison simonwillison.net
- The Decoder the-decoder.com
- Schneier on Security schneier.com
Citar este expediente
Agentes de Notion 3.0 engañados con PDF de texto blanco para filtrar datos de clientes vía búsqueda. AI Threat Watch, expediente notion-agent-pdf-exfil, 19 sept 2025. https://aithreat.io/es/cases/notion-agent-pdf-exfil/
Enlace permanente: https://aithreat.io/es/cases/notion-agent-pdf-exfil/