Copilot 的受歡迎程度成長如此之快，以至於許多用戶感覺自己已經被超越了。 被迫進入他的日常生活：在 Windows在 Office 中，在瀏覽器中…正當我們逐漸習慣這一切的時候，一個安全問題浮出水面，引起了廣泛關注：所謂的… 副駕駛重試失敗只需點擊一下即可洩露個人數據，而用戶似乎並沒有進行任何異常操作。
同時，有些人會收到類似這樣的訊息： “這不是兼容的配置；我將繼續按照我既定的指令行事。” 當他試圖用極端提示（例如著名的）強制 Copilot 運行時 絕對模式），或諸如以下的通知 “您無法再提交任何提示” 這會阻止發送新的請求。所有這些都會因應用程式故障而加劇。 窗戶11 關於快速注入是否是真正的漏洞，還是只是漏洞，引發了激烈的爭論。 不可避免的局限性 生成式人工智能讓我們來整頓這片混亂局面。
Copilot 中的 Reprompt 故障是什麼？為什麼它引起瞭如此多的討論？
這個名字 提示 我們虧欠團隊… Varonis威脅實驗室有人發現了利用 Copilot 處理某些 URL 參數方式的漏洞。結果令人擔憂：只需點擊一個看似無害的鏈接，Copilot 就可能被欺騙。 收集用戶資訊並將其發送到攻擊者控制的伺服器。沒有確認對話框或明確警告。
微軟在年底收到了Varonis的報告。 2025年XNUMX月 並發布了補丁 13一月2026這恰逢當月的“補丁星期二”。在此期間，該漏洞仍處於開放狀態，儘管現在該漏洞已被正式確認存在。 Copilot 的當前版本已修復此問題但是，這僅適用於那些保持軟體更新的用戶。
Reprompt 的技術原理：巧妙運用了「q」參數
Reprompt 攻擊的關鍵在於一種乍看之下完全正常的行為：Copilot 允許透過 URL 使用一個名為 `reprompt` 的參數向其傳遞查詢或提示。 q就像你在谷歌搜尋時看到的那樣，你的搜尋查詢會作為連結的一部分顯示在網址列中。
此參數 q 它允許 Copilot 載入頁面時文字方塊已經填充完畢，但也為攻擊者向其中插入內容開啟了方便之門。 偽裝的惡意指令當使用者點擊指向合法的微軟網域（例如 copilot.com）的連結時，q 參數的內容會被解釋為使用者手動輸入的內容。
從那時起，Copilot 就可以被說服存取使用者的上下文資訊（最近的歷史記錄、產生的內容、帳戶關聯資料、已連接的服務資訊等）並執行相應操作。 攻擊者指揮的一系列行動所有這一切都無需用戶批准新視窗、權限或可疑對話框。
瓦羅尼斯描述了這次攻擊所使用的一系列被稱為「技術組合」的手段。 參數到提示 (P2P), 雙重請求 y 鍊式請求雖然聽起來像是非常專業的術語，但它們本質上描述的是如何從一個簡單的連結產生一個完整的連結。 自動化資料外洩工作流程.
用簡單易懂的方式解釋P2P、雙重請求和鍊式請求技術
研究人員稱，拼圖的第一塊是… 參數到提示 (P2P)基本上，它利用了參數這一事實。 q 該網址不僅包含無害的文本，還可能包含其他內容。 旨在欺騙模型的說明例如，讓 Copilot 收集某些上下文資訊並將其傳送到外部位址。
第二種方法， 雙重請求這指的是一種繞過防禦機制的方法，這種方法只有在第一次嘗試時才有效。這種攻擊流程迫使 Copilot 進行攻擊。 產生第二個請求其中，最初的檢查不再以同樣的力度進行，使得原本可能被阻止的指令得以通過。
第三部分， 鍊式請求允許副駕駛接收 來自攻擊者伺服器的額外命令助手可以查閱逐步說明，而不是在 URL 中執行單一靜態命令，從而保持會話活躍，並擴展可以從使用者上下文中提取的資訊。
綜合這些技術，可以確保在首次點擊之後， 副駕駛實際上會淪為攻擊者的代理人。在受害者的會話中運行，擁有與受害者相同的資料和服務存取權限。該人工智慧並未被感染。 惡意軟件 經典的，但只需遵循精心設計的說明即可。
演示展示了諸如要求副駕駛列出某些內容之類的場景。 用戶最近查看過哪些文件這樣可以確定大致位置、擷取文件片段或揭示使用習慣。這與其說是“清空整個硬碟”，不如說是… 建立非常詳細的使用者畫像及其近期活動.
Reprompt可能會洩漏哪些類型的資料？
Varonis 和其他分析師認為，Reprompt 會使 Copilot 在其網路中可存取的任何資料面臨風險。 執行上下文這其中包括（但不限於）以下要素： 最近的對話紀錄此會話中產生的內容、已查閱或已開啟文件的引用以及有關使用者帳戶的元資料。
在某些情況下，如果副駕駛擁有 與其他服務的集成人工智慧可能會暴露 電子郵件資訊、內部文件、身分驗證資料或雲端服務詳情這取決於具體的權限，但理論上的風險遠不止於簡單的聊天短語。
社區最擔心的問題之一是…的可能性 將資料直接洩漏到攻擊者控制的基礎設施中不僅僅是將它們顯示在螢幕上。可以指示人工智慧… 格式 以存取合法資源的方式「傳送」訊息，使用傳統用戶端安全解決方案無法監控的管道。
事實上，瓦羅尼斯強調，這類外洩事件與惡意檔案下載到本機的傳統事件不同。在這種情況下，洩漏發生在… 在使用者和助手之間的溝通過程中很多安全工具都偵測不到任何異常狀況。
儘管該漏洞已被修復，但 Reprompt 案例表明，利用該漏洞是多麼容易。 盲目信任指向看似無可挑剔的域名的鏈接例如微軟官方頁面，以及人工智慧如何在不安裝任何額外應用程式的情況下成為過濾工具。
Reprompt 事件影響了哪些使用者？微軟又是如何應對的？
公開報告顯示，Reprompt 公司受到的影響尤其顯著。 私人副駕駛我們通常會在瀏覽器和個人用戶的應用程式中看到這種整合功能。然而， 微軟365 副駕駛由於額外的配置和控制措施，企業使用的系統受到的影響程度並不相同。
在企業環境中，使用情況審計很常見。 資料遺失防護 (DLP) 策略上下文限制、對助手可以看到的數據進行更嚴格的控制以及 IT 部門的主動監控可以降低此類攻擊的潛在影響，儘管它們並不能完全消除新變種的風險。
關於時間線，Varonis已將問題通知了 2025年XNUMX月底 該修復是更新的一部分。 13一月2026從負責任的揭露角度來看，遵循了通常的模式：私下報告、分析、修補程式開發，以及在使用者受到保護後進行公開溝通。
微軟已確認與該參數相關的漏洞 q Copilot 已經修復了這個問題。然而，專家強調，問題的根源不僅在於某個具體的實現方式，還在於人工智慧助理解讀外部輸入的方式，無論… 文字、文件或連結.
除了Reprompt之外，該公司還必須對其他研究人員指出有問題的報告做出回應。 提示注入、檔案類型策略繞過與執行 命令 在環境中 Linux 使用 Copilot 進行隔離在其中幾個案例中，微軟認為這些並非傳統意義上的「可修復」漏洞。
即時注入、沙箱以及人工智慧漏洞構成要素的爭論
除了Reprompt之外，像這位工程師一樣的研究人員 網絡安全 約翰羅素 他們公開譴責微軟關閉了他們提交的多份與Copilot相關的報告，並聲稱： 不符合可維護性標準 已在其漏洞策略中確立。
羅素表示，他發現的問題包括： 直接和間接快速注射 能夠顯示系統提示符號的方法 使用 Base64 編碼繞過檔案類型策略 和 在 Copilot 使用的隔離 Linux 環境中執行指令在他們看來，這些行為顯示該平台的防禦機制存在結構性缺陷。
一個特別引人注目的例子是繞過上傳危險文件的限制。 Copilot 預設會阻止被認為有風險的格式，但 Russell 證明這種限制是可以繞過的。 將問題檔案編碼為 Base64 格式將其作為純文字發送，在會話中解碼並從那裡進行分析，從而繞過初始文件類型檢查。
其他專業人士，例如 拉傑·馬拉特他們回憶起一些示威活動中，有人將快速注射劑藏在一份文件中。 Word 坐在副駕駛座上最終產生了 行為異常甚至系統崩潰在這些情況下，該模型將本應是中性資料的內容當作高階指令來處理。
另一方面，像…這樣的研究人員 卡梅倫·克里斯韋爾 他們認為，這些行為中的許多只是 語言模型的固有局限性LLM 無法完美區分資料和指令，試圖完全阻止它們將某些文字解釋為命令可能會破壞它們的大部分實際用途。
系統提示的作用以及OWASP GenAI願景
另一個關鍵問題是曝光度 系統提示這套隱藏指令定義了像副駕駛這樣的助手的個性和功能限制。一些研究表明，透過創造性的注入，可以實現這一點。 強制模型顯示部分或全部內部提示.
該項目 OWASP GenAI安全領域中應用於生成式人工智慧的參考資料採取了一種微妙的立場：過濾系統提示本身， 並不總是構成嚴重的漏洞當提示訊息包含敏感資訊、特定安全規則、權限控制邏輯或允許繞過保護措施的詳細資訊時，就會出現問題。
換句話說，當攻擊者知悉系統提示訊息時，就會產生重大風險。 了解如何繞過存取限制、提升權限或提取機密數據如果提示只包含一般性的行為指示，那麼揭露提示雖然令人惱火，但未必是至關重要的。
OWASP 還指出，即使攻擊者無法直接存取提示符的全部文本，他們也能推斷出… 很多內部規則只需與系統對話即可理解。 並分析他們的回答。因此，隱藏提示訊息不應是唯一的安全措施，而應是更廣泛策略中的一項措施。
微軟方面解釋說，與Copilot相關的報告會根據其…進行評估。 脆弱性分類的公共政策許多案例在影響僅限於發出請求的使用者的環境、不跨越不同帳戶之間的安全屏障或僅涉及低權限資訊時，都被認為超出範圍。
Copilot的其他實際問題：提示符號凍結和應用程式崩潰
當網路安全社群正在討論這些高層次的問題時，普通用戶也會遇到一些更瑣碎但同樣令人沮喪的問題。其中之一就是 Copilot 顯示的錯誤訊息，內容如下： “您無法再提交任何提示”這樣就能阻止進一步發送訊息。
微軟官方支援建議採取以下經典步驟： 登出並重新登入 在 Copilot 應用中，嘗試使用 另一個瀏覽器 為了排除有問題的擴充功能或緩存，甚至 建立新的本機使用者設定檔 如果懷疑問題與目前帳戶有關，則在設備上進行檢查。
還有一些用戶試圖貼上非常激進或複雜的提示，以將 Copilot 置於所謂的“絕對模式“或者極端配置，現在他們找到了答案：”這種配置不相容；我將繼續按照我制定的指令操作。這類消息反映出微軟已經收緊了其安全措施。 阻礙基線行為發生根本性改變的因素 助理。
在桌面端，原生應用程式 適用於 Windows 11 的 Copilot 它也並非完美無缺。比較常見的情況是，從微軟商店安裝後，圖示雖然存在，但卻無法顯示。 應用程式根本無法打開。 當用戶嘗試運行它時。
對於這類事件，建議的解決方案包括：重新啟動Windows系統以排除暫時性錯誤； 請檢查您的網路連接，使用函數 修復或重置應用程式 從“設定”>“應用程式”>“已安裝的應用程式”> 微軟副駕駛， 跑過 Microsoft Store 疑難排解 在更嚴重的情況下，使用以下命令檢查系統檔案的完整性 sfc /scannow 從具有管理員權限的控制台。
為什麼副駕駛的攻擊面會持續擴大
幾乎所有專家都一致認為，根本問題不僅在於 Reprompt，也不僅僅是某個特定的過濾器繞過案例，而是這些工具本身的模式：Copilot 的實用性恰恰在於… “觸摸事物”也就是說，因為它能夠存取真實數據、應用程式和相關服務。
助理添加的功能越多（例如與 Office 整合、存取電子郵件、雲端文件管理、Windows 任務自動化等），它的功能就越強大。 富有創造力的攻擊者可利用的攻擊面每個新的工作流程、每個整合點和每種類型的處理內容都可能引入意想不到的濫用途徑。
因此，一些研究人員堅持認為，討論不能僅限於某種行為是否符合… 可利用漏洞的經典定義生成式人工智慧具有機率性和靈活性，這與基於嚴格邊界的傳統安全模型並不相符。
同時，追求完全封閉的人工智慧是沒有意義的：一個無法存取任何內容、除了重複文字之外不連接外部服務的人工智慧固然非常安全，但也存在一些問題。 在生產環境中幾乎毫無用處挑戰在於如何設計出每項新功能都配有強大的控制措施和全面的風險分析。
在這種情況下，像 Reprompt 這樣的案例就發揮了作用。 及早預警下一次攻擊可能來自哪裡今天它可能是一個控制不善的 URL 參數；明天它可能是一個嵌入了指令的文檔格式，或者是一個引入了自身漏洞鏈的第三方 API。
為使用 Copilot 的使用者和公司提供的實用課程
雖然這一切聽起來像是一場專家之間的戰爭，但對於那些每天在家或在辦公室使用 Copilot 的人來說，從 Reprompt 和關於快速注射的辯論中可以學到幾個非常實際的經驗教訓，他們希望在不放棄該工具的實用性的情況下最大限度地降低風險。
首先是開發一個 對「智慧」連結保持健康的懷疑態度如果您收到一個鏈接，打開 Copilot 或任何其他 AI 助手，並且文本字段中已經填充了查詢內容，那麼值得仔細查看一下，特別是當該鏈接是通過電子郵件、短信或社交媒體收到，而您又沒有預料到的情況下。
第二點是不要再把這些助手當成「簡單的聊天工具」。實際上，Copilot 及其同類產品是… 統一的接口，可連接到多種服務郵件、文件、 存儲 在雲端，日曆、生產力工具…給予它們無差別存取權限，實際上就相當於在你的數位環境中打開了非常敏感的大門。
第三點，或許是最顯而易見但也最容易被忽略的一點，就是始終保持 Copilot 和作業系統已完全更新就 Reprompt 而言，該補丁關閉了入口，但僅限於安裝了最新版本的 Windows、瀏覽器、Office 和 Copilot 應用程式本身的使用者。
最後，無論是個人用戶還是企業，都建議仔細審查。 與助理共享哪些資料來源哪些內部政策約束這些系統的使用，以及無論將工作委託給這些系統多麼方便，哪些類型的信息絕對不應該透過這些系統處理。
Copilot 和類似工具將繼續擴展 OS辦公室套件和關鍵工作流程正日益受到這些工具的影響，而且這種趨勢不會停止。了解諸如 Reprompt 之類的漏洞範圍、當前生成式人工智慧安全技術的局限性，以及微軟與網路安全社群之間的分歧，有助於有效地使用這些工具。 更多常識，更少非理性恐懼，以及更少天真。.
對字節世界和一般技術充滿熱情的作家。我喜歡透過寫作分享我的知識，這就是我在這個部落格中要做的，向您展示有關小工具、軟體、硬體、技術趨勢等的所有最有趣的事情。我的目標是幫助您以簡單有趣的方式暢遊數位世界。