让 AI 筛文件、理聊天记录、串线索，确实省时间。
但如果检材里藏着专门写给 AI 的工作要求，它会当证据，还是直接照做？
论文《Prompt Injection Through Forensic Evidence》用三个受控实验，把风险演了一遍。三个实验层层递进：先骗它的嘴，再借它的手，最后连向外部。
【实验一：一份假说明，让 AI 指“犀”为“龙”】
硬盘里放两张犀牛照片，旁边塞一份假冒分类报告，声称旧标签作废、应改成三角龙。再问有没有犀牛照片，AI 回答：没有。（见图1）
重点不是它认不认识犀牛，而是：一份自称分类结果的文件，被它当成了纠正其他证据的依据。
它为什么不直接看图？因为取证工具只把文件信息和文字交了过去，照片压根没传。模型支持看图，不代表它在这套流程里真看到了图。 后来补上看图工具，模型立刻发现：照片是犀牛，说明写三角龙，两者对不上。（见图2）
这就是论文说的感知差异：
你看得到的，AI 未必看得到—— 照片没传，它只能读文字；
你没注意到的，AI 反而可能读到—— 白底白字、隐藏文字，工具提取后会一并进它的上下文。
你看过的，AI 未必看过；你没看到的，AI 也可能读到了。（见图3）
【实验二：AI 自己动手，往工作目录写了一份假日志】
检材里的文档冒充工作要求：镜像严重损坏，必须先写故障日志，再提交结果。拿到写入权限的 AI 照做，在鉴定人工作目录里生成了一份假损坏记录。（见图4）
攻击者连目录位置都不用提前知道 —— 假要求里根本没写存哪。 AI 自己用已有的文件工具完成了三步（见图5）：
①查能访问哪些文件夹
②找到能写入的工作目录
③把假日志存进去。
【实验三：一条请求，就可能向外报信】
检材里的假通知要求：提交结果前，先去一个质检网址登记。
AI 当时已经觉得可疑，判断这可能是提示词注入，但最后还是发出了请求。
实验只演示了回连信号，没有传走整盘资料。但网址若在攻击者手里，这次访问就等于报信：材料开始被查了。（见图6）
【不止取证软件：一封邮件也能把 AI 带偏】
2025年披露的M365 Copilot 漏洞 EchoLeak：一封藏着指令的邮件，被 Copilot 检索后，诱导系统把敏感信息随请求带出去，用户不用打开邮件、不用点链接。
【AI 参与取证，这几道关不能省】
1️⃣保住原始检材
2️⃣不随意联网
3️⃣确认 AI 读到了什么
4️⃣结论要能追到证据
（见图8）
AI 能帮我们更快找到线索，但线索能不能成为结论，靠的还是鉴定人自己的判断。