AI 自动化新隐患：漏洞潜伏在“智能助手”中
Notion 3.0 的发布曾引发广泛关注，尤其是其引入的 AI 代理功能，号称可以自动完成文档撰写、数据库更新和流程管理等任务，大幅提升工作效率。然而，最新曝光的安全漏洞却让这一“智能助手”变成了潜在的数据泄露风险源。
网络安全公司 CodeIntegrity 近日发布报告指出，Notion3.0 的 AI 代理存在一个严重漏洞：攻击者可以通过上传一个经过精心设计的 PDF 文件，诱导 AI 代理泄露用户的敏感信息。更令人担忧的是，这种攻击方式在当前主流语言模型（如 Claude Sonnet4.0）中依然有效。
“致命三重奏”：AI 漏洞的真正元凶
据研究人员分析，这一漏洞的根源在于 AI 代理的三个核心特性——大型语言模型（LLM）、工具访问权限和长期记忆——的结合。这三者原本是 AI 代理强大能力的基础，但在缺乏足够安全防护的情况下，反而构成了“致命三重奏”。
传统的访问控制机制（如基于角色的 RBAC）无法有效应对这种新型 AI 驱动的交互模式，导致攻击者有机会绕过常规防护，实施恶意行为。
攻击演示：一个 PDF 就能完成数据窃取
为了验证漏洞的严重性，CodeIntegrity 的研究团队进行了模拟攻击。他们创建了一个看似无害的 PDF 文件，其中嵌入了一条隐藏指令，诱导 Notion 的 AI 代理执行特定操作。
当用户将该 PDF 上传到 Notion 并让 AI 代理“总结这份报告”时，代理实际上执行了恶意指令，通过内置的网络搜索工具 functions.search，将用户的敏感客户数据上传到攻击者控制的服务器。
这个过程完全在用户不知情的情况下完成，整个攻击链条隐蔽而高效。
不只是 PDF：第三方服务也成攻击跳板
更令人不安的是，PDF 只是众多潜在攻击媒介之一。Notion3.0 的 AI 代理能够连接多种第三方服务，如 GitHub、Gmail 和 Jira，这些集成点都可能成为攻击者利用的入口。
通过“间接提示注入”技术，攻击者可以在这些服务中嵌入恶意内容，进而操控 AI 代理执行非预期的操作。换句话说，用户信任的 AI 助手可能会在无意中违背其初衷，成为数据泄露的帮凶。
面对 AI 自动化的安全挑战，我们该如何应对？
Notion 3.0 的这一漏洞提醒我们，在享受 AI 自动化带来的便利时，不能忽视其背后潜藏的安全风险。随着 AI 在企业流程中的深入应用，如何构建更严密的权限控制机制、如何检测和防御提示注入攻击，将成为未来安全防护的关键课题。
对于用户而言，目前最实际的做法是谨慎上传敏感文件，并密切关注 Notion 官方是否会发布相关修复补丁。