PromptArmor 解析 WebMCP 的机制与主要安全风险

PromptArmor 披露 ChatGPT for Google Sheets 存在间接提示词注入漏洞，一次良性查询即可触发工作簿外泄、钓鱼弹窗、侧边栏劫持和恶意编辑，演示中共外泄 12 个工作簿，且在用户明确要求人工审批时攻击仍可成功。

PromptArmor 披露，OpenAI Codex for Everything 中一封恶意邮件可通过间接提示词注入操纵 Codex 生成含预填 Google Form 链接的 Markdown 图片，自动将用户正在审查的邮件内容外泄到攻击者表单，无需额外用户交互。攻击于 2026 年 4 月 21 日经 HackerOne 负责任披露，OpenAI 已修复，5 月 21 日公开。

PromptArmor 发布 Microsoft Copilot Cowork 安全从业者指南，指出该云端智能体的主要风险是间接提示词注入，且开箱即继承用户的 Microsoft Graph 权限，陈旧的 Teams 成员关系和过度共享的 SharePoint 站点都会成为攻击面。

PromptArmor 分析 Agent 沙箱域名白名单的配置与风险，指出 npmjs.com、github.com、docs.google.com 和 *.amazonaws.com 等常用白名单域名都可能被提示注入用作数据外泄通道，例如通过 Google Forms 预填提交链接或攻击者注册的匹配通配符的子域名。

PromptArmor 发布 Codex 安全配置指南，核心风险是间接提示注入，其曾在 2026 年 4 月披露默认权限模式下无需用户交互即可窃取 Codex 完整敏感邮件的漏洞。

PromptArmor 提出评估 AI 应用连接器风险的三支柱模型，不可信外部数据、敏感内部数据和下游动作，并呼应 Simon Willison 的 Lethal Trifecta，举例说明 Confluence 与 Zendesk 连接器组合可将内部文档经工单回复外泄。

PromptArmor 发布 Cursor 安全实践者指南，梳理其威胁模型：不可信输入（代码、工单、网页、MCP 输出）与可信操作（shell 执行、文件写入、Git、MCP 工具调用）之间的间接提示词注入风险，并针对 Auto-Run、插件供应链、Bugbot、Automations、沙箱和子处理器给出管理端配置建议。

PromptArmor 发布安全公告，指出 OpenAI Codex CLI 在用户信任项目后会自动加载并执行 .codex/config.toml 中的任意代码，且信任对话框只提示 prompt injection 风险，未说明会执行项目级配置命令。

PromptArmor 实测演示了对 OpenAI Agent Builder 的间接提示词注入攻击：攻击者提交含注入的 Google Form，诱使销售智能体工作流通过 Gmail 将 Salesforce CRM 数据发送给攻击者。

PromptArmor 发布 Claude Cowork 安全部署指南，梳理其威胁模型并给出三档功能与风险权衡的配置方案，从最大化功能的 Tier 1 到基本隔离外部输入的 Tier 3，并逐项说明组织级管理设置。