Una dipendente apre una pagina web. Basta solo questo.

Una dipendente di una media impresa ha effettuato l'accesso a Microsoft Copilot Personal, come oggi fa la maggior parte del personale per almeno una parte della giornata lavorativa. Apre una pagina web che qualcuno le ha inviato, oppure un documento condiviso in attesa tra gli altri file della sua casella di posta. Legge un paragrafo, chiude la scheda e continua a lavorare. Niente nella pagina sembra sospetto. Non clicca su nessun link al suo interno, non scarica nulla e non digita alcuna password da nessuna parte.

Quel singolo gesto, aprire la pagina, è già l'intero attacco. La società di ricerca sulla sicurezza Varonis ha scoperto che un prompt nascosto incorporato in un contenuto dall'aspetto innocuo basta a far sì che Copilot segua le istruzioni di un aggressore non appena legge quel contenuto, all'interno della sessione che lei ha già aperto. Varonis ha chiamato la falla SearchLeak e l'ha resa nota insieme ad altre due vulnerabilità in Copilot Personal.

Due falle concatenate equivalgono all'accesso completo ai dati

La catena SearchLeak combina due debolezze distinte. Primo, un aggressore crea una pagina web o un documento che contiene un prompt nascosto e malevolo, scritto per sembrare testo ordinario o metadati piuttosto che un'istruzione. Secondo, quando una vittima già autenticata su Copilot visita quella pagina o apre quel documento, il prompt nascosto viene eseguito automaticamente all'interno della sua sessione autenticata. Nessun clic ulteriore, nessuna finestra di conferma e nessun secondo avviso si frappongono tra il caricamento della pagina e l'esecuzione del prompt.

Una volta in esecuzione con la sua autorità, il prompt ordina a Copilot di interrogare tutto ciò a cui la vittima ha già dato accesso: la sua email, i suoi file e qualsiasi app di terze parti collegata al suo account. Copilot non le chiede conferma, perché dal proprio punto di vista sta semplicemente eseguendo un'istruzione all'interno di una sessione legittima già autenticata.

L'ultimo passaggio è l'esfiltrazione, e anche per questo Copilot fornisce lo strumento. Usando la propria capacità integrata di recuperare URL, l'assistente compromesso invia i dati raccolti a un webhook controllato dall'aggressore. La sessione della vittima, le sue autorizzazioni e le stesse funzioni di Copilot lavorano esattamente come previsto. Niente in questa catena richiede che lei commetta un errore.

Una seconda porta: avvelenare la memoria di Copilot

Varonis ha reso nota una terza falla, separata dalla catena SearchLeak, raggiungibile tramite la funzione di riassunto delle pagine web di Copilot. Invece di esfiltrare dati in un solo passaggio, questa via permette a un aggressore di inserire informazioni false o manipolate in ciò che Copilot ricorda di un utente, avvelenandone la memoria tramite contenuti che l'assistente viene incaricato di riassumere.

Questo conta perché trasforma una singola pagina web malevola in un problema persistente invece che in un evento isolato. La memoria di un assistente serve a renderlo più utile nel tempo, portando il contesto da una sessione all'altra. Una memoria avvelenata porta l'influenza di un aggressore da una sessione all'altra esattamente allo stesso modo, molto dopo che la pagina che l'ha impiantata è stata chiusa.

Perché non è phishing

Il phishing tradizionale si basa sull'ingannare una persona: clicca su questo link, inserisci qui la tua password, approva questo accesso. La formazione sulla sicurezza esiste per intercettare proprio quel momento di decisione umana. SearchLeak non ha questo momento. La vittima non ha cliccato su nessun link malevolo, non ha inserito alcuna credenziale e non ha visto nulla che somigliasse a un avviso da ignorare.

L'attacco scatta quando l'assistente IA legge un contenuto, non quando la persona clicca su qualcosa. Si tratta di un innesco completamente diverso, che resta fuori da tutto ciò per cui è stata pensata la formazione a 'non cliccare su link sospetti'. Una dipendente che avesse fatto tutto correttamente secondo qualunque standard esistente avrebbe comunque potuto innescare questa catena semplicemente aprendo un file che le era stato inviato.

Qui sta il nucleo del nuovo rischio. Un copilota IA con accesso già autorizzato e permanente a email, file e app collegate di una persona diventa un unico punto di compromissione nel momento in cui può essere indotto a seguire istruzioni nascoste in un contenuto che si limita a leggere. La stessa utilità dell'assistente, poter agire per suo conto senza che lei debba riautorizzare ogni passaggio, è la proprietà che rende possibile questo attacco.

Cosa dovrebbero verificare davvero le aziende di UE e Regno Unito

Microsoft ha classificato SearchLeak come critica e l'ha già corretta, quindi la falla specifica descritta qui è chiusa. È una buona notizia, e non il motivo per continuare a leggere. Lo schema a cui appartiene, l'iniezione di istruzioni tramite contenuti che un assistente IA consuma in modo passivo anziché contenuti su cui una persona clicca attivamente, non sta scomparendo, e si ripresenterà in qualche altro assistente collegato con qualche altro innesco.

Per qualsiasi azienda che sta adottando ora Microsoft 365 Copilot o un assistente IA collegato in modo simile, l'esercizio utile non è solo formare il personale a riconoscere link sospetti. Consiste nel chiedersi a cosa si può indurre quell'assistente con l'accesso già autorizzato che possiede, e nel trattare 'l'iniezione di istruzioni tramite contenuti consumati passivamente' come una voce a sé nelle valutazioni di rischio dei fornitori. Poiché quell'accesso permanente riguarda tipicamente dati personali, questo appartiene anche alle valutazioni di rischio sul trattamento dei dati previste dal GDPR, non solo all'arretrato della sicurezza informatica.

Da leggere ora: Il fisco francese è esente dalle proprie multe GDPR  |  Il Pensiero Nascosto dell'IA Passa ai Modelli Economici