随着 Notion3.0 的推出，其搭载的全新自主 AI 代理功能引发了广泛关注。该功能被设计用于自动化执行各类任务，例如撰写文档、更新数据库以及优化工作流程管理。然而，网络安全企业 CodeIntegrity 最近发布的一份研究报告指出，这些 AI 代理存在严重安全隐患——攻击者可利用恶意文件（如 PDF）诱使代理绕过安全机制，进而窃取敏感信息。
这一漏洞的根源在于 AI 代理所具备的“致命三重组合”：大型语言模型（LLM）、对系统工具的访问权限，以及长期记忆能力。研究人员认为，在这种高度动态和自主的环境中，传统的安全策略（如基于角色的访问控制 RBAC）已难以有效防御新型威胁。
问题的核心集中在 Notion3.0 内置的网络搜索功能 functions.search 上。虽然该工具旨在让 AI 代理获取外部数据，但其设计缺陷使其容易被恶意操控，成为数据泄露的通道。
为验证风险，CodeIntegrity 团队实施了一次模拟攻击：他们制作了一份表面正常的 PDF 文件，其中嵌入了隐蔽的恶意指令，指示 AI 代理通过 functions.search 将用户的客户数据发送至攻击者掌控的服务器。当用户将此 PDF 上传至 Notion 并请求 AI 代理“总结内容”时，代理便自动执行了隐藏命令，完成了数据外传。更令人担忧的是，即便在使用当前先进的语言模型 Claude Sonnet4.0 的情况下，该攻击依然成功，说明现有防护机制存在明显盲区。
报告进一步强调，该风险不仅局限于 PDF 文件。由于 Notion3.0 的 AI 代理支持与 GitHub、Gmail、Jira 等第三方服务集成，任何接入的外部平台都可能成为“间接提示注入”的入口。一旦含有恶意提示的内容通过合法渠道进入系统，就可能误导 AI 代理执行非授权操作，严重违背用户本意，造成数据泄露或流程篡改。
