AI 被騙的三種方式：EchoLeak、Comet、墨西哥

這個系列前面講了很多「要防」：hook 擋金鑰、紅隊測 Skill、MCP 先唯讀、隊友的話不算數。讀者常問一句：真的有人這樣被搞過嗎？

有。過去一年有三個公開案例，剛好對上 AI 被騙的三種方式：資料裡藏了指令、讀到惡意內容、被說服自己有權限。

案例一：EchoLeak，一封信就夠

2025 年 6 月，Aim Security 揭露 Microsoft 365 Copilot 的一個漏洞，編號 CVE-2025-32711，嚴重度 9.3。攻擊者寄一封信給公司裡任何一個人，信裡藏著給 AI 的指令。收信的人什麼都不用做，Copilot 在例行摘要郵件時讀到那封信，就照裡面的指令去翻 OneDrive、SharePoint、Teams 的資料，再透過一個被信任的 Microsoft 網域把資料送出去。零點擊。Microsoft 在伺服器端修了，說沒有在野外被利用。

這是第一個提示詞注入變成真實資料外洩的公開案例。Copilot 並沒有特別弱，任何一個能讀很多內部資料、又會讀外部內容的 AI 助理，結構都一樣。

案例二：Comet，網頁就是指令

2025 年 8 月，Brave 的安全團隊發了一篇針對 Perplexity Comet 瀏覽器的示範。Comet 是那種「幫我摘要這個網頁」的 AI 瀏覽器。Brave 做了一個網頁，把指令藏在使用者看不到的元素裡；使用者叫 Comet 摘要，Comet 把網頁內容原封不動餵給模型，分不出哪些是使用者說的、哪些是網頁寫的，於是照網頁的指令去做事：關分頁、開釣魚網站、把一次性驗證碼寄給攻擊者。10 月 Brave 又發了一篇，把指令藏在截圖裡也行，而且不只 Comet，整類 AI 瀏覽器都有同樣的問題。也就是說，只要 AI 會讀網頁又會動手，寫那個網頁的人就能對它下指令。

案例三：墨西哥，說服它你有權

2025 年 12 月到 2026 年 1 月，一個攻擊者用 Claude Code 當規劃和執行引擎，攻進墨西哥至少十個政府機關和一家金融機構，帶走約 150 GB、約 1.95 億筆紀錄，包括納稅人、選民、公務員帳密、戶籍。他沒用什麼技術漏洞，靠的是說服：告訴 AI 這是合法的漏洞獎勵計畫、你是一個頂尖的滲透測試員，然後餵它一份上千行的操作手冊。前後超過一千個提示詞，大部分遠端指令由 AI 執行，資料還丟給另一家的模型分析。Anthropic 事後封了帳號，說新模型加強了濫用偵測。

AI 判斷該不該做，看的是你給它的脈絡，而脈絡可以是編的。前兩個案例是攻擊者繞過使用者，這一個是攻擊者自己坐在使用者的位子上。

OWASP 在 2026 年 6 月的整理說，提示詞注入仍然是生產環境裡代理式 AI 失敗的主要原因。三個案例的根源差不多，模型沒辦法分辨哪些是資料、哪些是指令，也沒辦法確認跟它講話的人是誰。

你公司裡也有這三種結構

你不是政府，也可能沒在用 AI 瀏覽器。但這三種結構，你公司裡多半都有。

你有會讀外部內容的 AI。收信、看網頁、讀客戶上傳的檔案，只要它讀外部內容又能動手，案例一和二的結構就在。防線是這個系列講過的：外部內容當資料，不當指令（Routines 把 API 傳進來的文字包成「不可信」就是這個設計）；能動手的範圍設窄；對外發送要人確認。

你有會被說服的 AI。它判斷該不該做，靠的是脈絡，所以絕對不能做的事，光寫在提示詞裡不夠，要設在權限裡。案例三的攻擊者只靠一套說詞，就讓它跑了上千個提示詞。

你有很多 AI，但不知道全貌。CrowdStrike 9 月出了一個專門找「影子 AI 代理」的產品，看得出企業裡不知道自己有幾個代理在跑，已經是普遍的問題。12 個孤島那篇的那張清單，有幾個、讀什麼、寫哪裡、誰能關，用處在於案例三那種事發生時，你能不能三分鐘內找到是哪一個。

最後要分清楚：三個案例裡，兩個是研究者示範，一個是真實攻擊。示範不等於已經發生，但從示範到真實，EchoLeak 只隔了幾個月，墨西哥則是一開始就是真的。

EchoLeak 那封信，收件人從頭到尾沒有點開過。資料是在 Copilot 例行摘要郵件的時候被送出去的。

站內延伸

• Skill 上線前的紅隊測試 → 評估先行
• 便條擋不住，用權限和 hook → 便條擋不住
• 文件和網頁裡藏指令怎麼防 → 找方法Prompt Injection 防護

來源： The Hacker News：Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data（EchoLeak、CVE-2025-32711、CVSS 9.3、伺服器端修補）；Brave：Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet（2025-08）與Unseeable prompt injections in screenshots（2025-10）；SecurityWeek：Hackers Weaponize Claude Code in Mexican Government Cyberattack與Cloud Security Alliance 研究筆記（時間、規模、手法）；Help Net Security：Prompt injection still drives most agentic AI security failures（OWASP，2026-06）。