Исследование CodeIntegrity показало, что новые ИИ-агенты в Notion 3.0 уязвимы для атаки через вредоносные PDF-файлы. Агентов можно настроить для автоматического выполнения задач, редактирования документов, обновления баз данных и работы с другими инструментами.
По данным CodeIntegrity, главный риск — сочетание возможностей LLM-агентов, доступа к инструментам и долговременной памяти. Обычные средства защиты, такие как RBAC, не спасают от этой угрозы.
Особую угрозу представляет интегрированный инструмент web search, functions.search. Он позволяет агентам получать доступ к внешним сайтам, но его можно использовать для вывода конфиденциальных данных за пределы сервиса.
Для демонстрации атаки специалисты подготовили PDF, замаскированный под отчет о клиентских отзывах. Внутри файла находился скрытый запрос, выглядевший как обычная рабочая инструкция. Этот скрытый prompt заставлял агента загрузить чувствительные данные на сервер злоумышленников с помощью web search.
Когда пользователь загружал такой PDF в Notion и просил агента «суммировать отчет», агент выполнял заложенные инструкции, извлекал данные и автоматически отправлял их по сети. В ходе теста использовалась языковая модель Claude Sonnet 4.0, которая не смогла предотвратить атаку, несмотря на встроенную защиту.
Проблема не ограничивается только PDF. В Notion 3.0 агенты поддерживают подключение к сторонним сервисам — GitHub, Gmail, Jira. Любая такая интеграция может стать точкой входа для похожих атак через внедрение вредоносных инструкций, которые агент выполнит без ведома пользователя.
