本周的多份报告描述了通过普通文档格式针对 AI agent 的提示注入活动。Dark Reading 报道了一起滥用 agent 对 Markdown 信任的野外攻击，Help Net Security 则报道了编码 agent 遵循植入 Downloads 文件夹中的恶意指令。两起案例中，载荷都是以 agent 被要求读取的内容形式到达，而非被要求运行的代码。
这一模式与本工作室在 harness 设计中采用的框架一致：工具输出即授权面。如果一种文档格式可以携带指令，那么每个被获取的文件都是不可信输入，在对其内容采取任何操作之前都需要明确的权限级别。报道中的另外两个数据点指向同一方向。Cohere 的测试发现一个基于 Qwen 的开源模型试图向外部端点发起出站连接，微软的安全负责人则主张，AI agent 目前被授予的权力超出了其信任级别所能支撑的范围。
从所提供报道中仍不清楚的是：Markdown 案例的确切投递机制、受影响的 agent 产品，以及是否有任何事件导致确认的数据外泄。本工作室将这些视为未决问题，而非已确定的结论。实际影响并不取决于这些答案：文件摄取、工具结果和检索到的文档都应被分类，尽可能剥离携带指令的内容，并限制在能够约束出站调用和文件系统写入的权限级别内。