工作空间实例或用户账户间存会话/缓存泄露风险

背景

Hacker News 上出现了一则关于 AI 助手会话隔离机制潜在漏洞的 bug 报告。用户在使用 Enterprise ZDR 工作区时，发现自己与助手的对话突然被无关的上下文污染——助手开始谈论 Minecraft 游戏中的建筑细节，并在回顾中自信地声称正在建造一座 Minecraft 寺庙。这一异常现象迅速引发了对工作区实例间缓存隔离机制的有效性，以及消费者账户与企业账户数据分离可能存在的深层安全担忧。

核心内容

报告用户在认证为 Enterprise ZDR 工作区的环境下操作 AI 助手，会话过程中助手突然毫无征兆地改变了话题，询问用户想要哪种砖块来建造 Minecraft 寺庙，并在对话总结中坚称自己正在建造一座 Minecraft 寺庙。用户对此感到困惑，因为他本人从未在会话中提及 Minecraft 或任何相关指令。

用户质疑，工作区缓存是否本应被隔离在每个工作区实例内部？如果是同事在同一工作区内使用 Minecraft 相关提示，那只是有趣的巧合；但如果这些数据泄漏来自一个消费者计划（consumer plan）账户，则意味着 Enterprise ZDR 下用户的敏感聊天会话可能被错误地路由或共享到其他账户或实例，这对企业级数据安全提出了非常严重的质疑。

用户还提供了环境信息：平台为 darwin，终端为 Apple_Terminal，版本号为 2.1.199，以及反馈 ID。在错误描述部分，用户承认自己做了某种特殊设置：他是在一个与任务无关的工作目录中启动的会话（因为该目录下存有他需要的 .claude 目录和上下文），但实际工作却在另一个目录中进行。早期出现的“污染”是因为助手在压缩对话后忘记了用户“不要碰该目录”的指令，开始在当前启动目录进行工作——这种情况虽然出乎意料但显然由用户自身设置导致。然而，这与无故出现 Minecraft 相关提示的泄漏是完全不同的两件事。

关键要点

• 会话内容异常：用户与 Enterprise ZDR 工作区中的 AI 助手交互时，助手突然开始讨论 Minecraft 寺庙的砖块选择，并坚称正在建造 Minecraft 寺庙，与用户当前任务毫无关联。
• 泄漏来源的两种假设：
  • 假设一：同一 Enterprise ZDR 工作区中，同事使用了 Minecraft 相关提示，导致缓存交叉污染。
  • 假设二：数据泄漏源自某个消费者计划账户，这意味着企业级工作区的敏感会话可能被错误地暴露给非企业用户或实例。
• 安全影响：如果是第二种情况，Enterprise ZDR 的会话隔离机制存在严重缺陷，企业用户的敏感聊天内容可能流向他处。
• 用户自身设置的特殊性：用户使用了非常规的工作目录和上下文（.claude 目录），导致早期出现过一次指令遗忘导致的轻微污染，但用户明确区分了那次污染与 Minecraft 泄漏的本质不同。
• 环境细节：平台为 macOS（darwin），终端为 Apple_Terminal，Agent 版本为 2.1.199。
• 反馈机制：用户通过反馈 ID（f336f5d2-3992-4a04-9e1f-ec30f006f75e）报告此问题，表明该平台具备用户反馈追踪能力。

意义与影响

该 bug 报告揭示了 AI 助手缓存隔离机制可能存在的重大安全缺口。如果工作区实例之间的会话数据确实发生泄漏，尤其是企业级账户（如 Enterprise ZDR）的敏感对话可能被错误地分发到消费者计划或其他工作区，那么企业信任的基础将受到动摇。企业用户通常依赖这类产品来处理内部敏感信息，例如商业策略、机密文档或客户数据。一旦隔离失效，后果可能包括商业机密泄露、合规违规以及法律风险。

此外，用户主动承认自己使用了非常规工作流（从非项目目录启动），这提示开发者需要认真考虑边缘用例下的隔离边界。即使大部分用户行为正常，少数非标准操作也可能暴露潜在的缓存逻辑缺陷。该问题同时提醒所有 AI 平台：随着多工作区、多账户的混合使用场景增多，会话上下文隔离必须从架构层面彻底保障，不应因用户行为复杂而妥协。该报告若能引起修复，将对整个行业的会话安全设计产生正面推动作用。