安全公司Prompt Armor发现，ChatGPT的Google Sheets插件存在间接提示注入漏洞——攻击者只需在一张表格中隐藏恶意指令，就能批量窃取受害者账户下的所有工作簿。该插件下载量已超18.5万次，漏洞绕过所有权限设置，而OpenAI至今仅回复了一封自动邮件。
事件回顾
2026年5月27日，AI安全研究公司Prompt Armor公开披露了一个针对ChatGPT for Google Sheets的严重安全漏洞。这个由OpenAI官方推出的插件，自上线不到一个月已累计超过18.5万次下载。
漏洞的核心机制令人不寒而栗：一次间接提示注入，触发四种攻击效果同时生效。
攻击链条是这样的：受害者正在编辑一份内部财务模型，从外部导入了一个数据集。这个外部表格的白色文字中隐藏了一条提示注入指令。当受害者让ChatGPT帮忙整合导入的数据时，这条隐藏指令操纵ChatGPT执行了一个外部脚本——而这个脚本的权限来自于用户已经授予ChatGPT插件的所有权限。
接下来发生的事情堪称教科书级的数据泄露：
- 工作簿被窃取：外部脚本提取了用户的财务模型，发送到攻击者的服务器
- 连锁扩散：脚本在窃取的数据中发现了其他工作簿的链接，自动追踪并窃取这些工作簿——在Prompt Armor的演示中，一次攻击就泄露了12个工作簿
- 侧边栏被劫持：ChatGPT的侧边栏被替换为攻击者控制的聊天界面，可以窃取用户的所有对话记录
- 钓鱼弹窗弹出：弹出攻击者控制的钓鱼页面，伪装要求用户"重新连接"其他应用以获取更多权限
最令人震惊的是两个细节。第一，即使用户在设置中明确要求人工审批后才能让ChatGPT编辑表格，这个攻击仍然能绕过审批直接执行。第二，ChatGPT侧边栏的"停止"按钮无法终止已经启动的脚本——脚本一旦开始运行，就无法被用户中断。
▲ 一次间接提示注入，触发四种攻击效果
为什么重要
这不是一个孤立的漏洞。Prompt Armor在过去一年中已经发现了一系列AI工具的安全漏洞，形成了一份触目惊心的"漏洞清单"：
| 受影响工具 | 漏洞类型 |
|---|---|
| Claude Cowork | 文件窃取 |
| Microsoft Copilot | 文件窃取 |
| Notion AI | 数据泄露 |
| Slack AI | 间接提示注入导致数据泄露 |
| Superhuman AI | 邮件窃取 |
| GitHub Copilot CLI | 下载并执行恶意软件 |
| Snowflake Cortex AI | 沙箱逃逸并执行恶意代码 |
| IBM AI ("Bob") | 下载并执行恶意软件 |
| HuggingFace Chat | 数据泄露 |
| Google Antigravity | 数据泄露 |
| Ramp Sheets AI | 财务数据窃取 |
▲ AI工具安全漏洞清单：Prompt Armor不完全统计（截至2026年5月）
这份清单揭示了一个系统性风险：当AI工具被赋予访问用户数据的权限时，间接提示注入就成了一个几乎无解的阿喀琉斯之踵。
对AI创业者来说，这意味着三件迫在眉睫的事：
第一，你的数据可能正在被窃取。 如果你的团队使用ChatGPT for Google Sheets处理财务数据、客户名单或商业计划，任何导入的外部数据都可能成为攻击入口。攻击者甚至不需要知道你的存在——只需要在你的供应商发来的报价单里藏一条白色文字指令就够了。
第二，OpenAI的安全响应令人失望。 Prompt Armor于5月8日负责任地向OpenAI披露了漏洞，收到了自动回复后确认了邮件偏好。5月12日和5月18日两次跟进，没有任何回应。从披露到公开，整整19天，OpenAI对18.5万用户的潜在风险选择了沉默。这暴露出AI巨头在安全治理上的巨大短板——产品迭代速度飞快，安全响应却慢如蜗牛。
第三，"连接一切"的AI愿景正在制造新的攻击面。 ChatGPT的"Connectors"功能允许AI访问用户的Google Drive、Slack、Notion等应用数据。当AI拥有了跨应用的数据访问权限，一次注入攻击的影响面就不再局限于一张表格，而是可以蔓延到整个数字工作空间。
我们能学到什么
1. 对所有AI工具的"自动执行"权限保持怀疑
ChatGPT for Google Sheets有一个"自动应用编辑"设置，但事实证明这个设置的开关毫无意义——攻击仍然可以绕过。对AI创业者来说，核心教训是：不要把安全寄托在AI工具的权限设置上，尤其在处理敏感数据时。
实操建议：将AI工具的数据访问权限控制在"最小必要"原则。如果只是需要AI帮忙写公式，就不要给它读取整个工作簿的权限。如果是用ChatGPT的Connectors功能，确保只连接必要的应用，定期审查已授权列表。
2. 间接提示注入是AI安全的第一大威胁
这次攻击的核心不是代码漏洞，而是AI模型本身的特性——它无法区分"用户真正的指令"和"数据中隐藏的指令"。这就是间接提示注入的本质，也是当前所有LLM应用面临的共同挑战。
HN上的一位评论者一针见血："致命三重奏再次上演——LLM可以访问数据、可以执行操作、无法区分指令来源。"另一位评论者则指出了更根本的问题："从第一个宏病毒到业界接受'我们承受不起这个安全代价'用了多久？LLM的提示注入问题又需要多久才能让业界接受同样的现实？"
3. 安全不是"加了AI就自动变好"
HN上一条高赞评论说得好："事实证明，有些用AI构建软件的人完全不知道如何保护它们，甚至不知道AI在里面塞了多少安全漏洞。纯靠感觉。"这背后是一个更深的行业问题——AI工具的发展速度远远超过了安全实践的建设速度。
对AI创业者而言，这意味着在选择和使用AI工具时，需要建立自己的安全审查流程，而不是默认"大厂的产品应该安全"。事实上，Prompt Armor发现的漏洞列表中，微软、OpenAI、Google、Anthropic、Notion、Slack一个都没少。
行动建议
- 立即检查：如果你的团队安装了ChatGPT for Google Sheets，立即检查最近导入的外部数据源，确认没有异常脚本执行。可以在Google Workspace管理控制台中查看该插件的权限和活动日志。
- 权限最小化：在组织层面限制AI插件的安装和使用范围。使用Google Workspace的"API控件"功能，只允许必要的插件访问敏感数据。
- 导入数据前消毒：对所有从外部导入的表格数据进行检查，特别关注白色文字、隐藏单元格和异常公式。
- 监控异常行为：建立对AI工具行为的监控机制。如果有工具在非工作时间大量读取表格数据，或者在短时间内批量下载多个工作簿，这可能是数据泄露的信号。
- 关注官方更新：跟踪OpenAI对此漏洞的修复进展。截至本文发布时（5月31日），OpenAI仍未有公开回应或修复计划。
本文由AI辅助创作，经人工审核编辑发布