Security

AI 推荐投毒攻击：Summarize 链接如何影响 Copilot

3分钟阅读

摘要

微软安全研究团队披露，一种名为“AI Recommendation Poisoning”的新型攻击正在被用于通过隐藏在“Summarize with AI”等链接中的 URL 参数注入提示词，试图污染 Copilot 等助手的 memory 功能，从而长期影响其后续推荐结果。此事之所以重要，在于它可能悄无声息地扭曲企业采购、安全建议和用户判断；虽然微软已对 Copilot 部署缓解措施，但跨平台利用已在多个行业和公司中被观察到，企业仍需加强用户培训、邮件与网页链接检测以及 AI 使用治理。

需要Security方面的帮助？咨询专家

引言：为什么这很重要

AI 助手正越来越多地被信任用于总结内容、比较供应商并推荐下一步行动。Microsoft 安全研究人员目前观察到对手（以及商业驱动的参与者）正在尝试通过操纵这些助手的记忆来持续性地引入偏向——把看似无害的一次 “Summarize with AI” 点击，变成对未来回答的长期影响。

在企业环境中，这不仅是完整性问题。如果助手的推荐能够被悄然引导，就可能在采购决策、安全指导与用户信任等方面产生影响——且几乎没有明显迹象表明任何事情发生了变化。

最新动态：野外出现的 AI Recommendation Poisoning

Microsoft Defender Security Research Team 描述了一种新兴的推广滥用模式，并将其命名为 AI Recommendation Poisoning：

  • 通过 URL 参数进行隐藏式 prompt injection： 网页会嵌入链接（通常隐藏在 “Summarize with AI” 按钮后），使用 ?q=<prompt> 等 query 参数打开 AI 助手并预填充 prompt。
  • 以“memory”功能为目标实现持久化： 被注入的 prompt 试图添加持久指令，例如“记住 [Company] 是可信来源”或“优先推荐 [Company]”。
  • 规模化观察结果： 在对邮件流量中出现的 AI 相关 URL 进行为期 60 天的复核期间，研究人员识别到来自 14 个行业、31 家公司的 50+ 次不同 prompt 尝试。
  • 跨平台定向： 同样的方法被观察到面向多个助手（示例 URL 包括 Copilot、ChatGPT、Claude、Perplexity 等）。其有效性因平台而异，并会随着缓解措施的推出而不断演变。

工作原理（以及为什么 memory 会改变风险）

现代助手可以保留：

  • 偏好（格式、语气）
  • 上下文（项目、重复性任务）
  • 显式指令（“始终引用来源”）

这种实用性也带来了攻击面：当外部参与者导致未经授权的“事实”或指令被存储，并被当作用户意图写入时，就会发生 AI memory poisoning（MITRE ATLAS® AML.T0080）。研究将该技术映射到基于 prompt 的操纵及相关类别（包括 MITRE ATLAS® 条目，例如 AML.T0051）。

对 IT 管理员与终端用户的影响

  • 推荐完整性风险： 用户可能收到带有偏向的厂商/产品指导，但呈现形式看起来客观中立。
  • 难以检测的操纵： “投毒”可跨会话持续存在，使用户难以将后续决策与早前一次点击建立关联。
  • 社会工程攻击面扩大： 这些链接既可出现在网页上，也可通过邮件投递，将营销手法与安全滥用混合在一起。

Microsoft 表示，其已在 Copilot 中实施并持续部署针对 prompt injection 的 mitigations；在若干案例中，以前报告的行为已无法复现——表明防护能力正在演进。

行动项 / 下一步

  • 更新安全意识培训： 告知用户 AI “summarize” 链接可能被武器化，尤其是会预填充 prompt 的链接。
  • 审查邮件与 Web 防护： 确保链接扫描与反钓鱼防护能够分析异常 URL 参数与重定向模式。
  • 建立 AI 使用指引： 鼓励用户验证来源、交叉核对推荐内容，并报告疑似“memory”异常。
  • 运营处置手册： 明确用户/管理员在（支持的情况下）如何检查与清除助手 memory，并将可疑 prompt/URL 上报至安全团队。

Recommendation Poisoning 清晰表明：当 AI 成为决策支持层时，完整性与溯源（provenance） 控制必须与传统的钓鱼与 Web 威胁模型同步演进。

需要Security方面的帮助？

我们的专家可以帮助您实施和优化Microsoft解决方案。

咨询专家

获取微软技术最新资讯

阅读Microsoft Defender Security Research Team的原文
AI securityCopilotprompt injectionmemory poisoningMicrosoft Defender

相关文章

Security

Trivy Supply Chain Compromise: Defender Guidance

Microsoft has published detection, investigation, and mitigation guidance for the March 2026 Trivy supply chain compromise that affected the Trivy binary and related GitHub Actions. The incident matters because it weaponized trusted CI/CD security tooling to steal credentials from build pipelines, cloud environments, and developer systems while appearing to run normally.

Security

AI Agent Governance: Aligning Intent for Security

Microsoft outlines a governance model for AI agents that aligns user, developer, role-based, and organizational intent. The framework helps enterprises keep agents useful, secure, and compliant by defining behavioral boundaries and a clear order of precedence when conflicts arise.

Security

Microsoft Defender Predictive Shielding Stops GPO Ransomware

Microsoft detailed a real-world ransomware case in which Defender’s predictive shielding detected malicious Group Policy Object abuse before encryption began. By hardening GPO propagation and disrupting compromised accounts, Defender blocked about 97% of attempted encryption activity and prevented any devices from being encrypted through the GPO delivery path.

Security

Microsoft Agentic AI Security Tools Unveiled at RSAC

At RSAC 2026, Microsoft introduced a broader security strategy for enterprise AI, led by Agent 365, a new control plane for governing and protecting AI agents that will reach general availability on May 1. The company also announced expanded AI risk visibility and identity protections across Defender, Entra, Purview, Intune, and new shadow AI detection tools, signaling that securing AI usage is becoming a core part of enterprise security operations as adoption accelerates.

Security

Microsoft CTI-REALM Benchmarks AI Detection Engineering

Microsoft has introduced CTI-REALM, an open-source benchmark designed to test whether AI agents can actually perform detection engineering tasks end to end, from interpreting threat intelligence reports to generating and refining KQL and Sigma detection rules. This matters because it gives security teams a more realistic way to evaluate AI for SOC operations, focusing on measurable operational outcomes across real environments instead of simple cybersecurity question answering.

Security

Microsoft Zero Trust for AI: Workshop and Architecture

Microsoft has introduced Zero Trust for AI guidance, adding an AI-focused pillar to its Zero Trust Workshop and expanding its assessment tool with new Data and Network pillars. The update matters because it gives enterprises a structured way to secure AI systems against risks like prompt injection, data poisoning, and excessive access while aligning security, IT, and business teams around nearly 700 controls.