Noma Labs 披露工作流身份劫持攻击，Google Workflows 已确认修复

Noma Labs 提出一种名为工作流身份劫持的攻击向量：攻击者无需操纵模型，只需通过公开支持邮箱、GitHub issue、网页表单或共享文档等未认证入口提交一个正常请求，企业 AI 流水线就会按设计读取并执行，而执行时使用的是工作流创建者的高权限服务账号或开发者 API key，而非请求者自身的权限。该研究指出，根因是触发工作流的用户身份与执行工作流的身份权限相互解耦，使 AI 工作流成为特权操作和静默数据外泄的未认证代理；由于提示词中不含恶意措辞，标准提示注入检测器和 Agent 护栏会把 CFO 与外部攻击者的相同请求归为同一类。文章建议采用身份感知的令牌委托、在 LLM 输出与后续数据库或工具调用之间加入上下文授权检查点，并将数据检索与对外通信通道做非对称隔离。