Slack AI 间接提示词注入数据渗漏 (AML.CS0035)

一句话通俗理解

公共频道里的一条帖子进了 Slack AI 的 RAG 库——用户一提问，API 密钥就顺着「链接」出了门。

案例速览

事件经过

PromptArmor 演示了 Slack AI 私有数据的窃取：恶意提示词经公共频道帖进入 Slack AI 的 RAG 数据库，受害者用户查询 Slack AI 时提示词被检索执行——响应被渲染为可点击链接，受害者的 API 密钥编码在 URL 中完成外传。

运用的 ATLAS 技术

以下攻击链映射来自 MITRE ATLAS 官方数据（AML.CS0035 的 employs 关系），按官方步骤编号排序；技术名称链接至本库对应技术文档，引用文字为官方对本次运用的描述。

S00

• 检索内容构造 (AML.T0066)

  The researcher crafted a targeted message designed to be retrieved when a user asks about their API key.

S01

• LLM 提示词构造 (AML.T0065)

  The researcher crafted a malicious prompt designed to reveal the victim’s API Key:

S02

• 有效账户 (AML.T0012)

  The researcher created a valid, non-admin user account within the Slack workspace.

S03

• AI 产品或服务 (AML.T0047)

  The researcher interacts with Slack AI by sending messages in public Slack channels.

S04

• RAG 投毒 (AML.T0070)

  The researcher creates a public Slack channel and sends the malicious content (consisting of the retrieval content and prompt) as a message in that channel. Since Slack AI indexes messages in public channels, the malicious message is added to its RAG database.

S05

• 间接提示词注入 (AML.T0051.001)

  When the victim asks Slack AI to find their “EldritchNexus API key,” Slack AI retrieves the malicious content and executes the instructions:

S06

• RAG 凭证窃取 (AML.T0082)

  Because Slack AI has access to the victim user’s private channels, it retrieves the victim’s API Key.

S07

• LLM 响应渲染 (AML.T0077)

  The response is rendered as a clickable link with the victim’s API key encoded in the URL, as instructed by the malicious instructions:

关联战术

• AI 攻击适配 (AML.TA0001)
• 初始访问 (AML.TA0004)
• AI 模型访问 (AML.TA0000)
• 持久化 (AML.TA0006)
• 执行 (AML.TA0005)
• 凭证访问 (AML.TA0013)
• 数据渗漏 (AML.TA0010)

参考资料

以下为 MITRE ATLAS 官方案例收录的参考来源：

• Data Exfiltration from Slack AI via indirect prompt injection

• MITRE ATLAS 官方案例页 (AML.CS0035)

版本: ATLAS 2026.09 | 更新: 2026-10-24 | 模板: ATLAS 案例研究 v1.0