摘要

检索增强生成（RAG）已成为企业落地大模型的首选架构，但其"检索即授权"的默认假设正在被系统性击穿。本文从攻击面分析出发，在本地可复现环境中演示了一条完整的 **"间接提示注入 → Agent 工具回路越权检索 → 数据外带"**攻击链：攻击者仅需向公开可抓取的网页注入一段伪装成报销口径校验的提示词，即可驱动受害 Agent 以自身权限窃取跨租户机密