Win11 实验性 AI 代理 幻觉 + 注入攻击风险 仍上线

　　过去几周，微软一直将人工智能代理与 Windows 的未来联系在一起。但该公司自己的文档公开承认，此类代理可能会产生幻觉、行为不可预测，甚至会受到一年前还不存在的攻击。然而，这家全球第四大公司仍在 Windows 11 中推进代理功能。

　　微软在 Windows Latest 发现的一份更新的支持文档中警告称：“人工智能模型在行为方式上仍存在功能限制……[并且]带来了新的安全风险……可能导致数据泄露或恶意软件安装等意外行为。”

　　如果微软认为这些代理程序风险大到需要单独账户、隔离会话以及防篡改审计日志，那为何 Windows 11 要成为它们的试验场?而且为何偏偏在用户已经对操作系统的人工智能化感到厌倦之时?

　　微软在智能计算领域的重大押注已成定局

　　2025 年 10 月中旬，微软表示要“让每一台 Windows 11 电脑都成为人工智能电脑”。该公司公布了一系列人工智能整合方案，旨在让您能够与电脑“对话”，向其展示屏幕上的内容，然后由它代您执行操作。

　　微软实际上希望您用自然语言来替代按键和鼠标点击操作，而我们已经通过 Copilot Voice(语音助手)、Copilot Vision(视觉助手)以及具有代理功能的 Copilot Actions(代理助手)初步领略了这一计划。

　　最新的举措让 Windows 11 任务栏成为这一人工智能化的核心所在。Windows 11 的搜索框(目前可选)将被新的“询问副驾”界面所取代，只需单击或输入即可召唤人工智能代理或副驾。从那里，代理可以在后台运行任务，而您可以直接从任务栏监控其进度，就像监控常规应用程序一样。

　　即便如今代理功能有限且需手动启用，但其架构和路线图已明确表明，代理计算将是 Windows 的下一个核心范式。

　　微软公开承认人工智能代理可能会有不当行为，但仍希望它们能进入您的文件和应用程序。

　　从好的方面来看，微软并未声称这是安全无虞或万无一失的。该公司官方文档警告称，这些人工智能代理“在行为方式上存在功能限制，偶尔可能会出现幻觉并产生意外输出。”

　　代理容易受到跨提示注入(XPIA)、恶意提示和恶意软件的攻击。

　　微软提到的最大风险之一是跨提示注入(XPIA)。它描述了一种情况，即人工智能代理被嵌入在用户界面元素、文档或应用程序中的恶意内容所欺骗。这种内容有可能覆盖代理的原始指令，迫使它执行诸如复制敏感文件或泄露数据等有害行为。

　　安全研究人员已经指出，基于图形用户界面的代理容易受到此类间接攻击，原因在于此类人工智能代理被赋予了很高的权限。

　　尽管我们赞赏微软对此开诚布公，但考虑到 Copilot 近期招致的诸多怨恨，难免会心生疑虑。而且，如果您觉得“回忆”功能已属隐私噩梦，那么人工智能代理则完全是另一回事了。

　　微软坚持要求代理程序在单独的账户下运行，拥有有限的权限、受控文件夹访问权限以及防篡改日志。但微软仍允许这些代理程序读写访问我们个人电脑中一些最私密的位置，即微软所称的“已知文件夹”，包括文档、下载、桌面、视频、图片和音乐。

　　微软本月早些时候发布的一份支持文档中警告称：“嵌入用户界面元素或文档中的恶意内容可能会覆盖代理指令，导致诸如数据泄露或恶意软件安装等意外行为。”“我们建议您仔细阅读此信息，并了解在您的计算机上启用代理的安全影响。”

　　因此，鉴于这些风险，如果微软希望代理程序能像真人一样与应用程序和文件进行交互，那么它究竟要如何防止整个系统因自身负担过重而崩溃呢?

　　这一切都取决于一个名为“代理工作区”的新功能。

　　代理工作区是微软打造代理操作系统愿景的核心所在。该公司所承诺的一切，包括能为你使用应用程序、编辑文件、移动文档以及完成多步骤任务而无需打扰你的 AI，之所以能够实现，仅仅是因为 Windows 11 现在能够为这些代理创建专门的会话来运行。

　　代理工作区与虚拟机或 Windows 沙盒不同。它是一个独立的 Windows 环境，拥有自己的账户、自己的桌面、自己的进程树以及自己的权限边界。