Notion 3.0 AI代理漏洞通过恶意PDF泄露敏感数据
Notion 3.0 AI代理漏洞使用户数据面临风险
网络安全研究人员发现Notion 3.0新推出的自主AI代理功能存在严重漏洞，攻击者可能通过篡改的PDF文件窃取敏感数据。安全公司CodeIntegrity的研究揭示了AI代理在处理外部内容时维持系统安全性的根本缺陷。
漏洞原理
该漏洞集中在Notion AI实现的三个核心组件：
- 大型语言模型(LLMs)处理不可信内容
- 过度宽松的工具权限用于网络搜索功能
- 长期记忆系统保留危险指令
最令人担忧的攻击向量涉及Notion内置的functions.search网络工具，研究人员发现结合恶意PDF内容可将其武器化以窃取数据。
攻击演示
在概念验证攻击中，CodeIntegrity创建了一个包含隐藏指令的PDF文件，指示AI代理：
- 从Notion数据库中提取机密客户数据
- 使用网络搜索功能传输这些信息
- 将被盗数据发送至攻击者控制的服务器
即使使用当前最先进的商用LLM之一Claude Sonnet 4.0，攻击仍能成功，表明现有防护措施对此类攻击无效。
广泛影响
安全分析师警告这不仅限于PDF文件或Notion平台：
- 任何第三方服务集成(GitHub、Gmail、Jira)都可能成为攻击媒介
- 问题源于保护自主AI代理的根本性挑战
- 传统的RBAC安全模型无法防范这类新型威胁
关键点：
- Notion 3.0的AI代理功能存在严重漏洞
- 恶意PDF可通过网络搜索工具触发数据泄露
- Claude Sonnet 4.0等先进LLM仍存在漏洞
- 第三方集成扩大了潜在攻击面
- 现有访问控制系统防护不足
