DATA LEAK
(19)19 个攻击.
DifyTap:四个授权缺陷致 Dify 租户间 AI 对话泄露
Zafran Labs 于 2026 年 6 月 22 日披露 Dify 中的四个 DifyTap 缺陷——两个严重、两个无需认证、三个具有跨租户影响——攻击者可窃听其他客户的 AI 对话并读取其文件。其中三个已在 1.14.2 中修复。
图像提示重建：从分布式 MLLM 的中间嵌入还原私密图像
2026 年 6 月的一篇论文表明，分布式多模态大模型推理链路中的被动参与者，仅凭其转发的中间嵌入即可重建用户的输入图像。黑盒、无需模型权重。
GeminiJack：通过提示注入从 Gemini Enterprise 实现零点击数据外泄
2025 年 12 月披露的 GeminiJack，使一份共享文档、一个日历邀请或一封邮件即可经由 Gemini Enterprise 的 RAG 悄然外泄 Gmail、日历与 Docs 数据——正是 OWASP 如今列为首位的攻击类别。
能力与倾向：审计大模型训练数据泄露
2026 年 6 月的框架 PropMe 区分了模型在攻击下「能」泄露什么与在日常使用中「会」泄露什么。两者差距很大——忽略它的审计会错估真实风险。
通过深度研究智能体实现的服务端数据外泄
一封邮件中的隐藏指令,就让 ChatGPT 的 Deep Research 智能体从 OpenAI 的云端把数据外泄出去:无渲染、无用户操作、网络防御完全看不见。本文解析这一攻击类别及其遏制方法。
幽灵工具调用：智能体的推测式执行泄露用户意图
2026 年 6 月的一篇 arXiv 论文（2606.02483）表明，为掩盖延迟而推测式预先发出工具调用的智能体，会把推断出的用户意图泄露给外部服务——而且这是一个时序问题，任何白名单都无法撤销。
通过 LLM 分词器的成员推理：一种新的隐私攻击向量
USENIX Security 2026 的一篇论文表明，仅凭模型的分词器就能泄露预训练所用的数据集——一种更廉价、无需模型的成员推理攻击。
LLM 推理的侧信道攻击：即使有 TLS，你的提示词也会泄露
推测解码与流式响应会产生流量模式，泄露提示词的主题、语言、甚至个人信息——而且是通过加密连接。本文梳理三篇论文及其防御方法。
推理轨迹泄露：隐藏思维链并不能保护它
2026 年 5 月的一篇论文表明，仅靠提示就能把推理模型隐藏的思维链拉回到可见输出中——而且恢复出的轨迹足以蒸馏出一个更小的模型。
SearchLeak（CVE-2026-42824）：一次点击让 M365 Copilot 变成数据外泄代理
Varonis 于 2026 年 6 月 15 日公开了 CVE-2026-42824 的利用机制：一条伪造的 microsoft.com 链接串联提示注入、HTML 渲染竞态与 Bing SSRF，窃取邮件和 MFA 验证码。已在服务端修复。
GraphSteal：从 Graph RAG 重建私有知识图谱
一篇于 2026 年 5 月 27 日发布的论文表明，简单的黑盒查询可将 Graph RAG 系统变成结构预言机，重建出其隐藏知识图谱的 90% 以上。
MEntA：五次蕴含查询即可对 RAG 语料库做成员推断
2026 年 5 月一篇 USENIX Security 论文表明，攻击者只需约五个自然语言问题即可判断某文档是否存在于 RAG 检索语料库中——无需影子模型、无需模板，且能绕过现有防御。
LLM 智能体 skill 中的凭据泄露：一项覆盖 1.7 万个 skill 的实证研究
2026 年 4 月 3 日的一篇 arXiv 研究分析了 17022 个智能体 skill，发现其中 520 个泄露凭据——73.5% 的泄露源自把密钥直接写入模型上下文的调试日志。
提示词反演：分布式 LLM 推理泄露输入，首个有理论保证的防御方案问世
提示词反演攻击可从中间激活值中恢复多达 88.4% 的输入 token。2026 年 6 月 10 日提交的论文提出了首个基于信息论、具备形式化保证的防御框架。
注入持续泄露 Copilot：2026 年 6 月两个新 CVE
2026 年 6 月 9 日的补丁星期二发布了 CVE-2026-42824 与 CVE-2026-47644——Copilot 表面上的两个注入类信息泄露漏洞，延续了自 EchoLeak 以来的数据外泄脉络。
社会传染：多智能体环境中 LLM 智能体会泄露隐私数据
2026 年 5 月的一项研究模拟了数千个 LLM 智能体，发现数据泄露具有社会传染性：智能体在看到同伴泄露后泄露概率约高出 8 倍，明确的隐私指令能降低但无法消除该效应。
特洛伊河马：智能体记忆中的休眠载荷窃取你的数据
2026 年 5 月 3 日的一篇 arXiv 论文表明，一封精心构造的邮件即可在智能体的长期记忆中植入休眠载荷，它只在你日后谈及财务或健康时被唤醒，随后将这些数据外泄——成功率最高可达 100%。
Bleeding Llama:GGUF 解析漏洞向未认证攻击者泄露 Ollama 进程内存
2026 年 5 月公开披露、由 Cyera 命名为 Bleeding Llama 的 CVE-2026-7482 漏洞,允许远程攻击者通过三次未认证的 API 调用,从 Ollama 服务器堆中提取任意片段——API 密钥、系统提示、其他用户的对话。静默补丁早在 CVE 编号分配前 2.5 个月就已发布。
通过重复攻击提取系统提示
让模型'永远重复诗这个词'最终会使其转储训练数据和系统提示。在 Claude 3、GPT-4 和 Gemini 上均有记录。