案例 notion-agent-pdf-exfil提示注入美国
Notion 3.0代理被白色文字PDF欺骗，通过网络搜索泄露客户数据
CodeIntegrity的Abi Raghuram证明，含隐藏白色文字的PDF可使Notion代理收集客户姓名、公司和ARR，并通过URL传给其网络搜索工具。Notion增加了检测和链接审批。
中针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2025年9月19日
- 地点
- 美国
- 目标
- Notion AI代理（Notion 3.0）
- 严重程度
- 中
- 发起者
- Abi Raghuram（CodeIntegrity）
- 行为者类型
- 安全研究人员
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
CodeIntegrity的Abi Raghuram证明，含隐藏白色文字的PDF可使Notion代理收集客户姓名、公司和ARR，并通过URL传给其网络搜索工具。Notion增加了检测和链接审批。
影响: 任何总结恶意PDF的用户都可能泄露工作区数据；未报告真实受害者
谁发起了攻击
行为者: Abi Raghuram（CodeIntegrity）
归因: 公开概念验证；Notion以产品变更回应
动机: 安全研究
如何发生
攻击途径: 上传PDF中的间接提示注入；代理的搜索工具接受任意URL，因此外泄借助了合法的函数调用
根本原因: 代理将私有工作区访问、不可信文件内容和出站网络工具结合在一起，却没有链接审批
时间线
- Notion 3.0代理发布
- CodeIntegrity发布外泄演示
- Notion宣布更广泛的注入检测、链接审批提示和禁用网络访问的管理员控制
应对
Notion升级了附件的注入检测，要求审批模型生成的链接，并允许管理员禁用代理网络访问
当前状态: 已修补
来源（在新标签页打开）
- Simon Willison simonwillison.net
- The Decoder the-decoder.com
- Schneier on Security schneier.com
引用此案例
Notion 3.0代理被白色文字PDF欺骗，通过网络搜索泄露客户数据. AI Threat Watch, 案例 notion-agent-pdf-exfil, 2025年9月19日. https://aithreat.io/zh/cases/notion-agent-pdf-exfil/