DATA LEAK
(32)32 个攻击.
Crawl4AI 的 Docker API：能窃取你 LLM 密钥的请求字段
2026 年 7 月披露的一个流行 LLM 爬虫漏洞，允许未认证请求自行指定 LLM 调用的目标地址，以及令牌从哪个服务器环境变量解析——从而泄露厂商 API 密钥与服务器自身的签名密钥。
复用 MCP 服务器实例会在客户端之间泄露数据
Model Context Protocol 官方 TypeScript SDK 的一处设计缺陷，会使共享的服务器或传输实例把某个客户端的工具结果、通知和 sampling 请求路由到另一个客户端。已在 1.26.0 修复。
Open WebUI 的 RAG 抓取：一次重定向即可触及云元数据凭证
2026 年 6 月底的一则公告显示，Open WebUI 的网页检索端点只校验了首个 URL，攻击者控制的重定向可将服务端请求引向云元数据。已在 0.6.27 修复。
Cognee 的设置接口让任意注册账号即可改写整个实例的 LLM 提供方
2026 年 7 月的一则通告显示，AI 记忆平台 Cognee 暴露了一个未做管理员校验的设置路由：一个自助注册的账号即可把整个实例的所有 LLM 调用重定向到攻击者的端点，窃取全部用户的数据。
损失地形投毒：让大模型记住它从未见过的秘密
2026 年 6 月的一篇论文表明，数据投毒攻击者可以迫使大模型记住其从未接触过的目标记录，而且一种探测技巧即便在差分隐私下也能将其还原。
Microsoft 365 Copilot：一个开放重定向模糊了租户边界
微软于2026年7月初披露了365 Copilot中的一个严重权限提升漏洞。一个开放重定向可让已认证的攻击者跨越本应隔离不同租户数据的信任边界。
从 MCP 服务器泄露的机密：检测由协议引发的信息暴露
2026 年 6 月底的一项研究对 10,655 个真实 MCP 服务器进行了静态分析，发现超过 10% 会泄露凭据、API 密钥或个人信息——并非通过外发请求，而只是通过返回、记录日志或抛出敏感值。
度量 RAG 系统会泄露多少私有知识库
2026 年春季的两篇论文对 RAG 知识库抽取进行了形式化与度量：一条「锚定 + 命令」的复合查询可将检索到的文档逐字回吐，而泄露量可清晰地分解为两个独立成因。
智能体获取的远多于它披露的：在数据获取阶段审计隐私
2026 年 6 月的一项基准测试检查敏感数据进入智能体上下文的那一刻，而不仅是它随后披露的内容——结果发现过度收集十分普遍。
为什么智能体的隐私无法只在最终回答处防护
当 LLM 智能体查询数据库、检索文档并跨会话保留记忆时，敏感数据早在回答之前就已泄露。2026 年 6 月的一篇综述梳理了泄露发生在何处。
三分之二的 iOS 人工智能应用在网络流量中泄露 LLM 凭据
维克森林大学对 444 款 iOS 人工智能应用的研究发现，其中 282 款暴露了可用的 LLM 凭据——明文密钥、开放代理后端、可重放令牌——均可从普通网络流量中读取。通报三个月后，仅有 28% 完成修复。
注意力漂移：为何 80% 的真实 LLM 应用会泄露系统提示词
2026 年 6 月的一项研究测量了 1200 个生产环境 LLM 应用，发现多数应用在简单对抗性查询下就会泄露系统提示词，根源是一种称为注意力漂移的机制。
任务完成，隐私泄露：智能体在工具调用间过度共享
2026 年 6 月的一项基准测试表明，使用工具的智能体可以在完成任务的同时，悄悄地把不必要的私密数据传给中间工具——成功并不等于遵守了「按需知晓」。
DifyTap:四个授权缺陷致 Dify 租户间 AI 对话泄露
Zafran Labs 于 2026 年 6 月 22 日披露 Dify 中的四个 DifyTap 缺陷——两个严重、两个无需认证、三个具有跨租户影响——攻击者可窃听其他客户的 AI 对话并读取其文件。其中三个已在 1.14.2 中修复。
GeminiJack：通过提示注入从 Gemini Enterprise 实现零点击数据外泄
2025 年 12 月披露的 GeminiJack，使一份共享文档、一个日历邀请或一封邮件即可经由 Gemini Enterprise 的 RAG 悄然外泄 Gmail、日历与 Docs 数据——正是 OWASP 如今列为首位的攻击类别。
图像提示重建：从分布式 MLLM 的中间嵌入还原私密图像
2026 年 6 月的一篇论文表明，分布式多模态大模型推理链路中的被动参与者，仅凭其转发的中间嵌入即可重建用户的输入图像。黑盒、无需模型权重。
能力与倾向：审计大模型训练数据泄露
2026 年 6 月的框架 PropMe 区分了模型在攻击下「能」泄露什么与在日常使用中「会」泄露什么。两者差距很大——忽略它的审计会错估真实风险。
通过深度研究智能体实现的服务端数据外泄
一封邮件中的隐藏指令,就让 ChatGPT 的 Deep Research 智能体从 OpenAI 的云端把数据外泄出去:无渲染、无用户操作、网络防御完全看不见。本文解析这一攻击类别及其遏制方法。
幽灵工具调用：智能体的推测式执行泄露用户意图
2026 年 6 月的一篇 arXiv 论文（2606.02483）表明，为掩盖延迟而推测式预先发出工具调用的智能体，会把推断出的用户意图泄露给外部服务——而且这是一个时序问题，任何白名单都无法撤销。
通过 LLM 分词器的成员推理：一种新的隐私攻击向量
USENIX Security 2026 的一篇论文表明，仅凭模型的分词器就能泄露预训练所用的数据集——一种更廉价、无需模型的成员推理攻击。
LLM 推理的侧信道攻击：即使有 TLS，你的提示词也会泄露
推测解码与流式响应会产生流量模式，泄露提示词的主题、语言、甚至个人信息——而且是通过加密连接。本文梳理三篇论文及其防御方法。
GraphSteal：从 Graph RAG 重建私有知识图谱
一篇于 2026 年 5 月 27 日发布的论文表明，简单的黑盒查询可将 Graph RAG 系统变成结构预言机，重建出其隐藏知识图谱的 90% 以上。
MEntA：五次蕴含查询即可对 RAG 语料库做成员推断
2026 年 5 月一篇 USENIX Security 论文表明，攻击者只需约五个自然语言问题即可判断某文档是否存在于 RAG 检索语料库中——无需影子模型、无需模板，且能绕过现有防御。
推理轨迹泄露：隐藏思维链并不能保护它
2026 年 5 月的一篇论文表明，仅靠提示就能把推理模型隐藏的思维链拉回到可见输出中——而且恢复出的轨迹足以蒸馏出一个更小的模型。
SearchLeak（CVE-2026-42824）：一次点击让 M365 Copilot 变成数据外泄代理
Varonis 于 2026 年 6 月 15 日公开了 CVE-2026-42824 的利用机制：一条伪造的 microsoft.com 链接串联提示注入、HTML 渲染竞态与 Bing SSRF，窃取邮件和 MFA 验证码。已在服务端修复。
注入持续泄露 Copilot：2026 年 6 月两个新 CVE
2026 年 6 月 9 日的补丁星期二发布了 CVE-2026-42824 与 CVE-2026-47644——Copilot 表面上的两个注入类信息泄露漏洞，延续了自 EchoLeak 以来的数据外泄脉络。
LLM 智能体 skill 中的凭据泄露：一项覆盖 1.7 万个 skill 的实证研究
2026 年 4 月 3 日的一篇 arXiv 研究分析了 17022 个智能体 skill，发现其中 520 个泄露凭据——73.5% 的泄露源自把密钥直接写入模型上下文的调试日志。
提示词反演：分布式 LLM 推理泄露输入，首个有理论保证的防御方案问世
提示词反演攻击可从中间激活值中恢复多达 88.4% 的输入 token。2026 年 6 月 10 日提交的论文提出了首个基于信息论、具备形式化保证的防御框架。
社会传染：多智能体环境中 LLM 智能体会泄露隐私数据
2026 年 5 月的一项研究模拟了数千个 LLM 智能体，发现数据泄露具有社会传染性：智能体在看到同伴泄露后泄露概率约高出 8 倍，明确的隐私指令能降低但无法消除该效应。
特洛伊河马：智能体记忆中的休眠载荷窃取你的数据
2026 年 5 月 3 日的一篇 arXiv 论文表明，一封精心构造的邮件即可在智能体的长期记忆中植入休眠载荷，它只在你日后谈及财务或健康时被唤醒，随后将这些数据外泄——成功率最高可达 100%。
Bleeding Llama:GGUF 解析漏洞向未认证攻击者泄露 Ollama 进程内存
2026 年 5 月公开披露、由 Cyera 命名为 Bleeding Llama 的 CVE-2026-7482 漏洞,允许远程攻击者通过三次未认证的 API 调用,从 Ollama 服务器堆中提取任意片段——API 密钥、系统提示、其他用户的对话。静默补丁早在 CVE 编号分配前 2.5 个月就已发布。
通过重复攻击提取系统提示
让模型'永远重复诗这个词'最终会使其转储训练数据和系统提示。在 Claude 3、GPT-4 和 Gemini 上均有记录。