2026年1月6日,网络安全工程师John Russell披露其向微软提交的4个Copilot安全漏洞被驳回,引发行业对AI漏洞定义的争论。问题包括提示注入、Base64编码绕过文件上传限制及在隔离环境中执行命令。微软以“不符合修复资格”为由关闭工单,称未跨越安全边界,属AI已知局限。Russell反驳指出,竞品Claude可防御此类攻击,显示存在输入验证缺陷。安全社区对此分歧明显,OWASP GenAI亦认为系统提示泄露若无敏感数据外泄,不构成高危漏洞。事件凸显大型语言模型在安全边界认定上的挑战。