Copilot CLI 提示词注入测试：不同后端模型表现差异显著，凸显 Agent 安全边界应落在工具能力而非模型本身

Adversa.ai 演示了一种针对 Copilot CLI 的提示词注入手法：将恶意指令加密后让 Copilot 自行解密，再借此读取本地秘密并经网络外传。同一攻击在不同后端模型上结果差异明显，其中一个模型约一半测试完成攻击链，另外两个模型则拒绝执行。作者认为，既然同一 Agent、工具与输入在不同模型下安全性不同，就不应把模型本身视为安全边界，文件读取、代码执行与外联等能力才是更关键的控制点。