Досье notion-agent-pdf-exfilПромпт-инъекцияСША
Агенты Notion 3.0 обмануты PDF с белым текстом и сливают данные клиентов через веб-поиск
Abi Raghuram из CodeIntegrity показал, что PDF со скрытым белым текстом может заставить агента Notion собрать имена клиентов, названия компаний и ARR и передать их в URL своему инструменту веб-поиска. Notion добавила обнаружение и подтверждение ссылок.
СредняяАтака на ИИСтатус: ИсправленПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 19 сен. 2025
- Локация
- США
- Цель
- ИИ-агенты Notion (Notion 3.0)
- Критичность
- Средняя
- Инициатор
- Abi Raghuram (CodeIntegrity)
- Тип субъекта
- Исследователи безопасности
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Abi Raghuram из CodeIntegrity показал, что PDF со скрытым белым текстом может заставить агента Notion собрать имена клиентов, названия компаний и ARR и передать их в URL своему инструменту веб-поиска. Notion добавила обнаружение и подтверждение ссылок.
Последствия: Любой пользователь, запросивший краткое изложение вредоносного PDF, мог слить данные рабочего пространства; о реальных жертвах не сообщалось
Кто стоит за инцидентом
Субъект: Abi Raghuram (CodeIntegrity)
Атрибуция: Публичный proof of concept; Notion ответила изменениями в продукте
Мотив: Исследование безопасности
Как это произошло
Вектор атаки: Непрямая инъекция промпта в загруженном PDF; инструмент поиска агента принимал произвольные URL, поэтому эксфильтрация проходила через легитимный вызов функции
Первопричина: Агент сочетал доступ к приватному рабочему пространству, недоверенное содержимое файлов и исходящий веб-инструмент без подтверждения ссылок
Хронология
- Запуск агентов Notion 3.0
- CodeIntegrity публикует демонстрацию эксфильтрации
- Notion объявляет о расширенном обнаружении инъекций, запросах подтверждения ссылок и административном контроле для отключения веб-доступа
Реагирование
Notion улучшила обнаружение инъекций во вложениях, ввела обязательное подтверждение сгенерированных моделью ссылок и позволила администраторам отключать веб-доступ агентов
Текущий статус: Исправлен
Источники (открываются в новой вкладке)
- Simon Willison simonwillison.net
- The Decoder the-decoder.com
- Schneier on Security schneier.com
Цитировать это досье
Агенты Notion 3.0 обмануты PDF с белым текстом и сливают данные клиентов через веб-поиск. AI Threat Watch, досье notion-agent-pdf-exfil, 19 сен. 2025. https://aithreat.io/ru/cases/notion-agent-pdf-exfil/
Постоянная ссылка: https://aithreat.io/ru/cases/notion-agent-pdf-exfil/