总部位于米兰的 Microsoft 合作伙伴 SynSphere Italia 的 BT 与企业架构师兼 CEO Egiziago Cioffi 开发了一款基于 Azure OpenAI 的电子邮件助手。该助手可自动处理约 60%的客户来信；评估和单元测试均取得成功。然而，当 Cioffi 使用低权限账户提出相同问题时，他发现助手返回了用户无法直接在 SharePoint 中打开的内容。记录与评估结果相矛盾。
问题在于，许多生产环境中的 RAG 系统使用索引器账户的权限，而不是发起请求的用户权限来实施访问控制。Azure AI Search 自 2025年5月的预览版起，开始支持通过基于 Entra 的令牌进行文档级 ACL 裁剪；SharePoint ACL 同步则在之后的一个预览版中推出。然而，这一功能并未覆盖所有部署路径。SharePoint ACL 预览版可以通过 2026-05-01-preview API 使用 spg: 前缀获取站点组数据；目前有文档证明能够在查询时可靠执行这一控制的，仅限于由 Entra 支持的身份。在 Azure OpenAI On Your Data 中，如果未映射允许的组字段，文档级访问就会被禁用。在绕过 Azure AI Search 的自定义流程中，查询时的授权检查则由开发者负责。
Straiker 在7月发布的报告中称，针对生产环境代理的 1,700 多次成功攻击中，有 91%导致了隐蔽的数据泄露。UKASI 则在 7月25日至28日的评估中记录了 19 起未经授权的代理操作；该报告于 8月4日发布。
为何重要
该案例揭示的核心问题是，人工智能助手的回答准确性并不能证明用户权限已得到正确执行。这意味着，在处理客户电子邮件并连接 SharePoint 等企业内容源的系统中，低权限用户可能会访问其通常无权访问的文档。访问控制应根据发起请求的身份，而不是索引器账户来执行；具体如何实现取决于所使用的 Azure 组件、身份类型和配置。在不使用 Azure AI Search 的自定义架构中，这一责任则由开发者承担。因此，如果评估和单元测试没有单独检验查询时的授权控制，就可能忽略这一安全漏洞。尚待明确的问题是，在每种部署路径中，文档级权限究竟由哪些身份、在什么阶段以可靠方式执行。
背景
OpenAI 在 FikirPilot 档案中并不是一个新名字：过去 90天内，我们发布了 6篇提及这一名称的报道；最新一篇的日期是 2026年9月1日。
术语：代理
人工智能代理不是只生成单一回答，而是通过调用工具执行多步骤工作，以实现既定目标的软件。