Всего через сутки после публикации отчета о критической уязвимости в новых AI-агентах Notion 3.0 компания выпустила срочное обновление безопасности. Проблема касалась возможности извлечения конфиденциальных данных через скрытые инструкции в файлах PDF — классический пример атаки инъекцией промптов.
Что именно исправили в Notion
Как сообщает The Decoder, Notion усилил системы обнаружения инъекционных атак, включая те, что скрыты в прикрепленных файлах. Компания заявляет, что теперь их системы выявляют «более широкий спектр шаблонов инъекций».
Представитель Notion отметил: «Мы понимаем, что безопасность AI и инъекции промптов — это новая область». Действительно, проблема не уникальна для Notion — все системы на основе языковых моделей, особенно агентские архитектуры, уязвимы к скрытым манипуляциям.
Новые меры безопасности
Notion внедрил несколько важных изменений:
- Обязательное подтверждение пользователем перед открытием подозрительных ссылок
- Централизованные политики для администраторов по управлению доступом к веб-ресурсам
- Возможность полного отключения веб-доступа для AI-агентов
- Более детальный контроль над взаимодействием агентов с внешним контентом
История с Notion — отличный пример того, как быстро развивается экосистема безопасности вокруг AI-агентов. Компании выпускают мощные инструменты с автономными возможностями, но забывают, что традиционные модели контроля доступа бессильны против принципиально новых угроз. Особенно тревожно, что даже самые современные модели вроде Claude Sonnet 4.0 поддаются на такие простые манипуляции. Это говорит о системной проблеме всего направления автономных агентов.
Как работала уязвимость
Исследователи из CodeIntegrity продемонстрировали атаку через безобидный на вид PDF-файл, замаскированный под отчет о клиентской обратной связи. Внутри файла были скрытые инструкции, которые заставляли AI-агента извлекать конфиденциальные данные и передавать их на контролируемый злоумышленником сервер через веб-поиск.
Достаточно было попросить агента «обобщить отчет», и он послушно выполнял скрытые команды. Проблема не ограничивается PDF — любые интеграции с третьими сервисами (GitHub, Gmail, Jira) могут стать векторами для косвенных инъекций промптов.
Ситуация показывает, что индустрия только начинает осознавать риски автономных AI-систем. Notion отреагировал быстро, но подобные уязвимости неизбежно будут появляться и в других платформах по мере распространения агентских архитектур.