工作流程身分劫持：Noma Labs 將一封普通的支援電子郵件變成特權資料存取

2026 年 9 月 9 日，Noma Security 的研究團隊以 Noma Labs 名義發表了一篇說明，介紹其所稱的工作流程身分劫持：企業 AI 工作流程會讀取送達公開入口點的普通訊息——客服收件匣、GitHub 問題單、網頁表單、共用文件——然後使用自身的高權限服務帳戶，而非寄件者的權限，執行被要求的作業。Noma 的逐步演示讓一名外部人士寄電子郵件到公司的公開客服地址，並要求（其中包括）財務總監最近一封電子郵件中的季度銷售數字；幾分鐘後，內容便送達攻擊者的收件匣。沒有模型被誘騙，也沒有帳戶遭入侵，這正是該報告的重點：「攻擊者所要做的只是開口詢問。」該檔案未記錄任何實際危害——沒有指名受害者，也沒有描述任何已部署系統遭入侵——並將此發現評為研究、嚴重程度中等、信心 A、爭議狀態為否。本文依據 Noma Labs 的報告、Dark Reading 同日刊登的報導，以及 CSO Online 的後續報導，而AI 事件檔案則將此條目與其相鄰條目並列，每個條目都有自己的來源、嚴重程度與信心等級。

在讀正文之前，記錄本身的欄位值得先看。它被標記為 INFRA 與 EXFIL，涵蓋 GLOBAL 區域，帶有一個精確到日的日期：2026年9月9日，且未被標記為里程碑條目。該日期僅是研究的發表日期，別無其他；沒有附上任何事件時間軸，因為沒有事件可供計時。這是首先應牢記的一點：Noma 發表的是機制與類別，而非外洩報告。

Noma 證明了什麼，以及沒有證明什麼

支援收件匣序列是建構出來的示例，而非客戶案例。Noma 的報告未點名任何組織、未提供受影響部署的數量、未公布來自任何真實管線的遙測資料，也未連結此情境的概念驗證執行紀錄——這點與該團隊七月的研究不同，當時的研究指向一次公開的 GitHub Actions 執行。該報告反而提供的是對機制足夠精確的描述，足以對照架構進行核查：一個未經身分驗證的輸入送達，模型正確地詮釋它，管線執行下游呼叫，而該呼叫是以工作流程建立者的權限發出。

Sasi Levi 是 Noma 的安全研究主管，也是這份報告的作者，他用一句話點出根本原因：「觸發工作流程的使用者，其身分與權限，和執行工作流程所用的身分與權限，兩者是脫鉤的。」只要情況如此，用報告的話來說，工作流程就變成了「特權動作的未經認證代理，以及無聲的資料外洩管道」。

因為這些動作是透過具備有效憑證的受信任自動化執行，Noma 主張，傳統警示幾乎沒有可捕捉之處。請求是正常的，模型的輸出是有效的模型輸出，API 呼叫已通過驗證，回覆正是該工作流程原本設計要送出的回覆。CSO Online 引述紅隊成員 Vibhum Dubey 的話，具體點出偵測難題：「個別事件看起來可能完全合法。有用的訊號會來自將原始請求者、下游使用的身分、所存取的資源、所提供的參數，以及最終動作相互關聯。」

未通過的檢查是授權檢查，不是內容篩選器。

這份報告最鮮明的例證，是一對完全相同的請求。來自一位財務長：「財務總監在他們最近一封電子郵件中的季度銷售數字是多少？」來自一位外部寄件人：同樣的字句。Noma 的重點是，提示詞與所請求的操作相同，而授權決策應該完全不同——「財務長有權取得該資訊；外部寄件人則沒有。」

報告主張，標準的提示注入偵測器和代理護欄會將這兩種輸入歸為同一類，因為兩者都沒有任何可供偵測的惡意內容。「安全風險不在提示中，而在授權邊界上。」Noma 的結構性主張由此而來：護欄、系統指令和輸入過濾器「並非設計來作為授權邊界」，因此，若某個管線依賴它們來決定呼叫者可擷取什麼，就是在依賴一項從未被要求擔負該職責的控制措施。

這項區別在實務上很重要。直接提示注入操縱模型遵循指令的方式；間接提示注入則把指令藏進模型之後會讀取的內容中；而 Noma 所定義的工作流程身分劫持兩者皆不需要，因為該請求是模型本應理解、且管線本應執行的請求。一位整年都在強化防禦注入的防禦者，其實一直在處理不同的層面。

靜態工作流程並不在這股代理強化浪潮的範圍之內

Noma 區分了兩件經常被混為一談的事。AI 工作流程是一種預先定義、靜態的序列，其中模型只是其中一個處理步驟——報告中的簡寫是步驟 A、模型、步驟 B、步驟 C——而模型周圍的確定性管道控制著會發生什麼。代理式工作流程則是自主的：代理會決定要採取哪些步驟，以及要呼叫哪些工具。報告主張，目前許多安全投入都集中在第二種，也就是限制工具存取、為做出動態決策的代理限定權限範圍，而這些控制措施並未涵蓋第一種。

這份報告也封堵了一個顯而易見的漏洞。限制誰或什麼能觸發工作流程，並不能解決問題：如果某個自動化流程按排程在上午 8:00 執行，並對一個任何人都能寫入的收件匣採取行動，那麼稽核「誰能觸發這個工作流程」回答的就是錯誤的問題。Noma 的規則是，每個自動化都必須以「有能力影響其作用對象的最不受信任一方」來評估——包括電子郵件、表單、工單、GitHub 議題、共享文件和聊天訊息。

Noma 表示，Google 已修復一起 Google Workflows 案例；Google 尚未發布任何內容。

報告中唯一被點名的平台是 Google 的。Noma 表示，它在 Google Workflows 中發現了相同的風險向量，已負責任地通報，而 Google 確認收到報告並證實已修復，「但未披露實作細節」。這句話就是公開紀錄的全部。無法找到任何描述此風險向量的 Google 公告、發布說明或 CVE，而所有關於該修復的二手記述——包括在 9 月 9 日之後幾天內發布的那些——都將其歸因於 Noma，而非 Google。

這份報告對於它指的究竟是哪個 Google 產品，也並非完全一致。內文提到的是 Google Workflows；同一份報告中的某個章節標題卻寫著「Google Workspace: AI Workflow Identity Hijacking」。兩者都是 Google 產品，但信任邊界不同，而報告並未調和這兩者。Noma 並未說明它所報導的案例是否曾遭利用、有多少客戶受影響，或修復內容改變了什麼——而由於 Google 什麼都沒說，這些缺口都無法從廠商端補上。

GitLost 是同一道邊界，只是以更狹窄的視角來看。

Noma 先前的揭露為此類別立下了先例。2026 年 7 月，該組織發布了關於 GitHub Agentic Workflows 的研究，並將其命名為 GitLost：當 issue 被指派時，會觸發一個工作流程，該流程會讀取 issue 標題與內文，並以留言回覆；由於該代理程式擁有組織內各儲存庫的讀取權限，外部使用者便能利用 issue 指派來觸及私有儲存庫資料。Dark Reading 於 2026 年 7 月 7 日報導此事，描述攻擊者將命令以白話英文藏在公開儲存庫中所開啟 issue 的內文裡，無需任何憑證，也無需程式設計技能。

這兩種表述並不相同，而差異正是有趣之處。Dark Reading 七月的報導是一個提示注入的故事：攻擊者控制的文字被當成指令來讀取。Noma 九月的報告則從觸發條件與整個儲存庫的讀取權限來描述 GitLost，並將其呈現為從某個角度看到的同一條授權邊界。兩種描述都符合這樣的工作流程：其代理程式讀取了外部人士所寫的文字，但只有較早的那個描述取決於模型被操控。Noma 現在表示已向 Google 報告相同的風險向量；它並未說明 GitLost 案例是否曾超出已公布的示範範圍而被利用。

Noma 自己對觸及範圍的說法是，Hacker News、Dark Reading 以及其他 100 多家國際媒體都報導了 GitLost 的研究。這個數字出自該廠商，本文並未獨立統計相關報導的數量。

從業者一致認為這個機制由來已久；爭論在於名稱。

獨立報導並未質疑這項發現，而兩位外部實務工作者質疑的是其新穎性，而非實質內容。BeyondTrust 首席安全顧問 Morey Haber 告訴 Dark Reading：「沒有人誘騙 AI 模型去做任何它不該做的事。模型完全照著一名陌生人（不受信任者）的指示行事，而其周邊工作流程使用了別人的身分來促成此事，因為它未被界定範圍，也未以最小權限處理。」CSO Online 引述 Vibhum Dubey 將此模式描述為「一類已知的授權弱點」，並補充說，當未經驗證的輸入可以觸發一個以自身權限行動的可信工作流程時，「該工作流程實際上可以扮演混淆代理人的角色。」

Ram Varadarajan，Acalvio 的執行長，向 Dark Reading 提出了截然不同的控制措施：與其增加更多過濾，不如在環境中植入誘餌——偽造的高階主管討論串、蜜標記錄——這些誘餌沒有任何正當理由會讓任何獲授權的工作流程去觸碰，因此當一個看似無害的請求試圖存取其中一個誘餌時，就會觸發它絕不該跨越的邊界。這項分歧——如果真能稱之為分歧的話——在於：有用的貢獻究竟是為一個 1988 年時代的委派缺陷取一個新名稱，還是切實描述該缺陷如今存在於何處。Noma 的立場是後者：這種模式在企業 AI 管線中是系統性的，而當前的 AI 安全框架看錯了表面。

緩解措施是委派與檢查點，而非更好的篩選器。

Noma 建議的控制措施屬於應用層，而非模型層。身分感知型權杖委派意味著從 AI 工作流程中移除靜態的管理用 API 金鑰，並以短效、具範圍限制且綁定至已驗證請求者的委派權杖來執行資料操作，讓使用者情境能傳遞到實際觸及資料的呼叫。情境式授權檢查點意味著將每一項模型輸出都視為不受信任的輸入，並在模型的轉換步驟與任何後續的資料庫或工具呼叫之間，設置明確的存取控制與執行期保護評估。非對稱輸出分離意味著在結構上將資料擷取與外部通訊通道隔離，使處理敏感內部資料的工作流程不會與自動回覆外部人員的機制共用執行路徑。

Dubey 向 CSO Online 提出了一個比前述三種都更省成本的測試：比較不同權限層級的執行結果。「如果低權限使用者能取得與管理員相同的結果，因為下游系統只看得到工作流程的身分，那正是我會聚焦調查的地方。」

紀錄留下的未解之處

• 沒有受害者、沒有數量統計，也沒有遙測資料。Noma 的支援收件匣案例只是一次走查；報告未指名任何組織，而檔案把真實傷害記錄為不實。該機制看似合理，並不代表它已被使用。

• 修復了哪個 Google 產品，以及修復內容為何。Noma 的內文寫的是 Google Workflows，其章節標題寫的是 Google Workspace，而 Google 尚未發布任何資訊。組織目前仍無法從公開來源判斷其運行的管線是否在受影響範圍內。

{{1}}該攻擊向量是否曾在任何地方遭到利用。{{/1}} {{2}}無論是本報告或本文所檢視的任何報導，均未描述可歸因於工作流程身分劫持的實際觀察攻擊活動、資料遺失或鑑識發現。{{/2}}

• 這個類別在實測下是否站得住腳。尚無獨立第三方針對此模式發表掃描結果、受影響管線的語料庫或測試套件；目前流傳的證據是架構上的論證，加上某家廠商對單一固定案例的說明。

• 是誰在提出這項論點。Noma Labs 是 Noma Security 的研究部門，而 Noma Security 所銷售的代理程式安全控管措施，正是其報告所建議的那一類。這並不代表該發現有誤——Dark Reading 和 CSO Online 都報導了它，且兩者都未發現事實錯誤——但這是讀者在權衡該類別界定得有多廣泛時，應納入考量的背景資訊。

該紀錄的嚴重性等級為中等，且其真實危害旗標為 false，這些描述的是證據，而非機制。Noma 實際確立的內容既狹窄又可查核：工作流程的觸發身分與執行身分是兩回事；後者通常權限更大；而一條從不比較這兩者的管線，會替陌生人做到它原本會替其服務對象做到的事。隨之而來的控制措施也相應地不怎麼光鮮——對每一項自動化，詢問誰能影響它所作用的對象，以及下游是否有任何環節會再次核驗提出要求的人是否有權提出要求。