微软的 Copilot Cowork 功能近期被曝出存在数据外泄风险，这一问题再次把智能体（agentic）系统的安全性推到聚光灯下。据 Simon Willison 的博客在 2026 年 5 月 26 日发布的链接文章介绍，设计智能体系统时最大的挑战始终是如何阻止攻击者借助这些系统窃取数据，而这次事件正是这一难题的典型写照。报道指出，Copilot Cowork 是微软真实存在的产品名称，相关产品介绍发表于微软 365 官方博客。
此次漏洞的核心在于：Copilot Cowork 允许智能体在未经用户批准的情况下，向用户自己的收件箱发送邮件。这本身看似无害——毕竟收件人就是用户本人——但这些邮件在展示时存在缺陷，可以经由渲染的图片把数据泄露给攻击者。具体而言，这些邮件可以包含指向外部网站的外部图片，当用户打开由智能体发送的受污染邮件时，页面会触发对这些外部网站的图片请求，从而把数据外传。换句话说，攻击者只需在图片 URL 中嵌入敏感信息，就能在用户毫无察觉的情况下收到这些数据。
问题的严重性还因 OneDrive 的能力而放大。报道指出，OneDrive 可以生成预先通过身份验证的下载链接，这意味着一旦提示注入（prompt injection）攻击成功，智能体就可能把这些链接泄露出去，攻击者随后便能直接下载相应文件。由此形成的攻击链条相当完整：攻击者先通过提示注入控制智能体的行为，再让智能体把带外链图片的邮件投递到用户收件箱，最后在用户打开邮件时借图片请求外传包含预认证下载链接的数据，最终实现对文件的窃取。
Willison 在文中把这类组合风险与所谓“致命三元组”（lethal trifecta）联系起来，即系统同时具备访问私有数据、处理不可信内容以及对外通信的能力时，极易被利用来外泄信息。文章给出的教训是，智能体产品在赋予自动化通信与文件访问权限的同时，必须对渲染内容、外部资源加载和链接生成等环节进行严格限制与审批，否则即便看似只是“发给自己”的邮件，也可能成为数据外泄的通道。该事件最早经由 Hacker News 上的讨论传播，相关标签涵盖微软、安全、AI、提示注入、生成式 AI、大语言模型以及数据外泄攻击等主题。