微软Copilot被曝存在一个隐藏参数漏洞，攻击者通过诱导用户点击特制链接，即可窃取密码等敏感数据。这一事件再次敲响AI助手安全性的警钟。

发生了什么

据Ars Technica报道，微软的Copilot AI助手包含一个秘密输入参数，该参数可被利用来绕过正常的安全限制。攻击者构造恶意链接，当用户点击后，Copilot会执行攻击者预设的操作，从而泄露用户的密码或其他敏感信息。目前微软已确认该漏洞，并正在修复中，但具体影响范围和修复细节尚未完全公开。

为什么重要

Copilot作为微软深度集成于Windows、Office和Edge等核心产品的AI助手，拥有极高的用户权限和系统访问能力。此次漏洞表明，AI助手的输入处理机制可能存在未被充分审查的“后门”或隐藏功能，这些功能一旦被恶意利用，后果不堪设想。传统软件漏洞往往聚焦于代码层面，而AI助手的漏洞则更多涉及提示词注入和参数操纵，这为安全研究提出了新课题。

影响与看点

对于企业用户而言，如果员工点击了恶意链接，攻击者可能窃取企业账号密码，进而渗透内部系统。对于开发者，这一事件提醒他们，在构建AI应用时，必须对用户输入进行严格的验证和过滤，尤其是那些隐藏参数或系统级指令。行业监管方面，此次事件可能加速对AI助手安全标准的制定。值得关注的是，微软如何修复此漏洞，以及是否会对Copilot的架构进行根本性调整。独立判断：AI助手的“隐藏参数”问题本质上是信任边界模糊的体现，厂商需要在功能灵活性和安全性之间找到更清晰的平衡点。