Une faille de Copilot exposait les données de l'entreprise

Une employée ouvre une page web. C'est tout ce qu'il faut.

Une employée d'une entreprise de taille moyenne est connectée à Microsoft Copilot Personal, comme la plupart du personnel aujourd'hui, au moins une partie de la journée de travail. Elle ouvre une page web que quelqu'un lui a envoyée, ou un document partagé qui attend parmi d'autres fichiers dans sa boîte de réception. Elle lit un paragraphe, ferme l'onglet et continue. Rien sur la page ne paraît suspect. Elle ne clique sur aucun lien à l'intérieur, ne télécharge rien et ne saisit de mot de passe nulle part.

Ce simple geste, ouvrir la page, constitue déjà l'attaque tout entière. Le cabinet de recherche en sécurité Varonis a découvert qu'une invite cachée intégrée dans un contenu d'apparence anodine suffit à faire agir Copilot selon les instructions d'un attaquant dès qu'il lit ce contenu, à l'intérieur de la session qu'elle a déjà ouverte. Varonis a nommé la faille SearchLeak et l'a révélée aux côtés de deux autres vulnérabilités dans Copilot Personal.

Deux failles enchaînées, un accès complet aux données

La chaîne SearchLeak combine deux faiblesses distinctes. D'abord, un attaquant conçoit une page web ou un document contenant une invite cachée et malveillante, rédigée pour ressembler à du texte ordinaire ou à des métadonnées plutôt qu'à une instruction. Ensuite, lorsqu'une victime déjà connectée à Copilot visite cette page ou ouvre ce document, l'invite cachée s'exécute automatiquement à l'intérieur de sa session authentifiée. Aucun clic supplémentaire, aucune fenêtre de confirmation et aucune seconde alerte ne s'interposent entre le chargement de la page et l'exécution de l'invite.

Une fois exécutée avec son autorité, l'invite ordonne à Copilot d'interroger tout ce à quoi la victime lui a déjà donné accès : ses emails, ses fichiers et toute application tierce connectée à son compte. Copilot ne lui demande pas confirmation, car de son propre point de vue, il exécute simplement une instruction à l'intérieur d'une session légitime déjà authentifiée.

La dernière étape est l'exfiltration, et Copilot en fournit également l'outil. Grâce à sa propre capacité intégrée à récupérer des URL, l'assistant compromis envoie les données collectées vers un webhook contrôlé par l'attaquant. La session de la victime, ses autorisations et les fonctions mêmes de Copilot fonctionnent exactement comme prévu. Rien dans cette chaîne n'exige qu'elle commette une erreur.

Une seconde porte : empoisonner la mémoire de Copilot

Varonis a révélé une troisième faille, distincte de la chaîne SearchLeak, accessible via la fonction de résumé de pages web de Copilot. Plutôt que d'exfiltrer des données en une seule fois, cette voie permet à un attaquant d'introduire des informations fausses ou manipulées dans ce que Copilot retient d'un utilisateur, empoisonnant sa mémoire via du contenu que l'assistant est invité à résumer.

Cela compte parce que cela transforme une seule page web malveillante en un problème durable plutôt qu'un événement isolé. La mémoire d'un assistant est censée le rendre plus utile avec le temps, en transportant du contexte d'une session à l'autre. Une mémoire empoisonnée transporte l'influence d'un attaquant d'une session à l'autre exactement de la même manière, longtemps après la fermeture de la page qui l'a implantée.

Pourquoi ce n'est pas du phishing

L'hameçonnage classique repose sur la tromperie d'une personne : cliquez sur ce lien, saisissez votre mot de passe ici, approuvez cette connexion. La formation à la sécurité existe pour intercepter précisément ce moment de décision humaine. SearchLeak ne comporte pas ce moment. La victime n'a cliqué sur aucun lien malveillant, n'a saisi aucun identifiant et n'a rien vu ressemblant à une alerte à ignorer.

L'attaque se déclenche quand l'assistant IA lit du contenu, pas quand la personne clique sur quelque chose. Il s'agit d'un déclencheur entièrement différent, qui échappe à tout ce pour quoi la formation 'ne cliquez pas sur les liens suspects' a été conçue. Une employée ayant respecté toutes les règles existantes aurait quand même pu déclencher cette chaîne en ouvrant simplement un fichier qu'on lui avait envoyé.

C'est là le coeur du nouveau risque. Un copilote IA disposant d'un accès permanent et déjà autorisé aux emails, fichiers et applications connectées d'une personne devient un point unique de compromission dès qu'il peut être amené à suivre des instructions cachées dans un contenu qu'il se contente de lire. L'utilité même de l'assistant, pouvoir agir en votre nom sans que vous réautorisiez chaque étape, est la propriété qui rend cette attaque possible.

Ce que les entreprises de l'UE et du Royaume-Uni devraient vraiment vérifier

Microsoft a classé SearchLeak comme critique et l'a déjà corrigée, si bien que la faille précise décrite ici est refermée. C'est une bonne nouvelle, et ce n'est pas la raison de continuer à lire. Le schéma auquel elle appartient, l'injection d'instructions via du contenu qu'un assistant IA consomme de manière passive plutôt que du contenu sur lequel une personne clique activement, ne disparaît pas, et il réapparaîtra chez un autre assistant connecté avec un autre déclencheur.

Pour toute entreprise qui déploie aujourd'hui Microsoft 365 Copilot ou un assistant IA connecté de façon similaire, l'exercice utile ne consiste pas seulement à former le personnel à repérer les liens suspects. Il s'agit de se demander ce que cet assistant peut être amené à faire avec l'accès déjà autorisé qu'il détient, et de traiter 'l'injection d'instructions via du contenu consommé passivement' comme une ligne à part entière dans les évaluations de risque des fournisseurs. Comme cet accès permanent touche généralement des données personnelles, cela relève aussi des analyses d'impact relatives à la protection des données au titre du RGPD, pas seulement de la liste d'attente de la sécurité informatique.

À lire ensuite: Le fisc français est exempté de ses propres amendes RGPD  |  Le Raisonnement Caché de l'IA Fuite vers des Modèles Moins Chers