Een lek in Copilot gaf toegang tot bedrijfsdata zonder klik

Een medewerker opent een webpagina. Meer is er niet nodig.

Een medewerker bij een middelgroot bedrijf is ingelogd op Microsoft Copilot Personal, zoals de meeste medewerkers tegenwoordig zijn, in elk geval een deel van de werkdag. Ze opent een webpagina die iemand haar heeft gestuurd, of een gedeeld document dat tussen andere bestanden in haar inbox ligt te wachten. Ze leest een alinea, sluit het tabblad en gaat verder. Niets aan de pagina lijkt verdacht. Ze klikt op geen enkele link erin, downloadt niets en typt nergens een wachtwoord in.

Die ene handeling, het openen van de pagina, is de hele aanval al. Onderzoeksbureau Varonis ontdekte dat een verborgen prompt in ogenschijnlijk gewone inhoud voldoende is om Copilot te laten handelen volgens de instructies van een aanvaller zodra het die inhoud leest, binnen de sessie die zij al open heeft staan. Varonis noemde het lek SearchLeak en maakte het bekend samen met twee andere kwetsbaarheden in Copilot Personal.

Twee gekoppelde lekken samen geven volledige datatoegang

De SearchLeak-keten combineert twee losstaande zwakke plekken. Ten eerste maakt een aanvaller een webpagina of document met een verborgen, kwaadaardige prompt, geschreven om op gewone tekst of metadata te lijken in plaats van een instructie. Ten tweede voert de verborgen prompt automatisch uit binnen de geauthenticeerde sessie zodra een slachtoffer dat al is ingelogd bij Copilot die pagina bezoekt of dat document opent. Geen extra klik, geen bevestigingsvenster en geen tweede waarschuwing staan tussen het laden van de pagina en het uitvoeren van de prompt.

Zodra de prompt draait met haar bevoegdheid, geeft die Copilot opdracht om alles te bevragen waartoe het slachtoffer al toegang heeft verleend: haar e-mail, haar bestanden en elke externe app die aan haar account is gekoppeld. Copilot vraagt haar niet om bevestiging, want vanuit zijn eigen perspectief voert het gewoon een instructie uit binnen een legitieme, al geauthenticeerde sessie.

De laatste stap is de exfiltratie, en ook daarvoor levert Copilot het gereedschap. Met zijn eigen ingebouwde vermogen om URL's op te halen, stuurt de gecompromitteerde assistent de verzamelde gegevens naar een webhook die door de aanvaller wordt beheerd. De sessie van het slachtoffer, haar autorisaties en de eigen functies van Copilot werken precies zoals bedoeld. Niets in die keten vereist dat zij een fout maakt.

Een tweede deur: het geheugen van Copilot vergiftigen

Varonis maakte naast de SearchLeak-keten een derde, afzonderlijke kwetsbaarheid bekend, bereikbaar via de functie voor het samenvatten van webpagina's van Copilot. In plaats van in een keer data te exfiltreren, laat dit pad een aanvaller valse of gemanipuleerde informatie planten in wat Copilot zich over een gebruiker herinnert, waarmee het geheugen wordt vergiftigd via inhoud die de assistent gevraagd wordt samen te vatten.

Dat is belangrijk omdat het van een enkele kwaadaardige webpagina een aanhoudend probleem maakt in plaats van een eenmalige gebeurtenis. Het geheugen van een assistent moet hem juist over tijd nuttiger maken, door context tussen sessies mee te dragen. Een vergiftigd geheugen draagt de invloed van een aanvaller op precies dezelfde manier tussen sessies mee, lang nadat de pagina die het heeft geplant al is gesloten.

Waarom dit geen phishing is

Traditionele phishing draait om het misleiden van een persoon: klik op deze link, voer hier je wachtwoord in, keur deze aanmelding goed. Beveiligingstraining bestaat om precies dat moment van menselijke beslissing te onderscheppen. Bij SearchLeak ontbreekt dat moment. Het slachtoffer klikte op geen enkele kwaadaardige link, voerde geen inloggegevens in en zag niets dat leek op een waarschuwing om te negeren.

De aanval wordt geactiveerd wanneer de AI-assistent inhoud leest, niet wanneer de mens ergens op klikt. Dat is een compleet andere trigger, die buiten alles valt waarvoor de training 'klik niet op verdachte links' bedoeld was. Een medewerker die zich aan elke bestaande norm had gehouden, had deze keten toch kunnen activeren door simpelweg een bestand te openen dat haar was toegestuurd.

Dit is de kern van het nieuwe risico. Een AI-copilot met al toegekende, blijvende toegang tot de e-mail, bestanden en gekoppelde apps van een persoon wordt op het moment dat hij kan worden verleid om instructies te volgen die verborgen zitten in inhoud die hij slechts leest, een enkel compromitteerbaar punt. Precies de nuttigheid van de assistent, dat hij namens u kan handelen zonder dat u elke stap opnieuw hoeft goed te keuren, is de eigenschap die deze aanval mogelijk maakt.

Wat bedrijven in de EU en het VK echt zouden moeten controleren

Microsoft beoordeelde SearchLeak als kritiek en heeft het al verholpen, dus het specifieke lek dat hier wordt beschreven is gesloten. Dat is goed nieuws, en niet de reden om verder te lezen. Het patroon waartoe het behoort, prompt-injectie via inhoud die een AI-assistent passief verwerkt in plaats van inhoud waarop een mens actief klikt, verdwijnt daarmee niet, en het zal terugkeren bij een andere gekoppelde assistent met een andere trigger.

Voor elk bedrijf dat nu Microsoft 365 Copilot of een vergelijkbaar gekoppelde AI-assistent uitrolt, is de nuttige oefening niet alleen personeel trainen om verdachte links te herkennen. Het gaat erom te vragen waartoe die assistent kan worden verleid met de toegang die hij al bezit, en 'prompt-injectie via passief verwerkte inhoud' te behandelen als een eigen post in risicobeoordelingen van leveranciers. Omdat die blijvende toegang doorgaans persoonsgegevens raakt, hoort dit ook thuis in gegevensverwerkingsrisicobeoordelingen onder de AVG, niet alleen op de achterstandslijst van de IT-beveiliging.

Lees hierna: Franse belastingdienst is vrijgesteld van zijn eigen AVG-boetes  |  Verborgen AI-redenering Lekt via Goedkopere Modellen