Dark Reading 报道了一起真实环境中的攻击，滥用 AI agent 对 Markdown 文档的信任。另一份报告描述了 AI 编程 agent 执行植入 Downloads 文件夹中的恶意指令。两起案例中，payload 都是通过 agent 视为数据的内容传入的，攻击路径是文件与文档摄取，而非直接的用户提示。这就是间接 prompt injection，而且它正在实验室条件之外被使用。
在运维层面，这意味着每一条摄取路径都是一条权限边界。如果 Markdown 可以被渲染或解析进 agent 的上下文，文档就能携带指令，而 prompt 过滤器并不等同于策略。本工作室的立场是：摄取需要一套明确、可测试的策略——解析哪些格式、哪些字段被视为不可信、在何处进行清洗或剥离、agent 可以基于文档来源的文本调用哪些工具。这些决策属于系统设计与评估套件，而不是系统 prompt 里的一句话。
相关报道确立了攻击类别与摄取向量；它并未确立普遍程度、受影响的厂商，或完整的被滥用格式集合。运行文档摄取的团队应把这一空白视为对自身路径进行埋点与测试的理由，而不是等待完整的公开图景。