Luka w Copilocie ujawniała dane firmy bez kliknięcia

Pracownica otwiera stronę internetową. Nic więcej nie trzeba.

Pracownica średniej firmy jest zalogowana do Microsoft Copilot Personal, tak jak większość dziś zatrudnionych osób, przynajmniej przez część dnia pracy. Otwiera stronę internetową, którą ktoś jej przesłał, albo udostępniony dokument czekający wśród innych plików w jej skrzynce odbiorczej. Czyta akapit, zamyka kartę i wraca do pracy. Nic na tej stronie nie wygląda podejrzanie. Nie klika żadnego linku wewnątrz niej, niczego nie pobiera i nigdzie nie wpisuje hasła.

Ta jedna czynność, otwarcie strony, to już cały atak. Firma badawcza zajmująca się bezpieczeństwem, Varonis, odkryła, że ukryty prompt osadzony w pozornie zwykłej treści wystarcza, by Copilot zaczął działać według instrukcji atakującego, gdy tylko odczyta tę treść, w ramach sesji, którą pracownica już ma otwartą. Varonis nazwał tę lukę SearchLeak i ujawnił ją razem z dwiema innymi podatnościami w Copilot Personal.

Dwie powiązane luki dają pełny dostęp do danych

Łańcuch SearchLeak łączy dwie odrębne słabości. Po pierwsze, atakujący tworzy stronę internetową lub dokument zawierający ukryty, złośliwy prompt, napisany tak, by wyglądał jak zwykły tekst lub metadane, a nie jak instrukcja. Po drugie, gdy ofiara już zalogowana do Copilota odwiedzi tę stronę lub otworzy ten dokument, ukryty prompt wykonuje się automatycznie w ramach jej uwierzytelnionej sesji. Żadne dodatkowe kliknięcie, żadne okno potwierdzenia i żadne kolejne ostrzeżenie nie stoją między załadowaniem strony a wykonaniem promptu.

Gdy prompt działa już z jej uprawnieniami, nakazuje Copilotowi odpytać wszystko, do czego ofiara już mu dała dostęp: jej pocztę, jej pliki i każdą aplikację zewnętrzną połączoną z jej kontem. Copilot nie prosi jej o potwierdzenie, ponieważ z jego własnej perspektywy po prostu wykonuje instrukcję w ramach uzasadnionej, już uwierzytelnionej sesji.

Ostatnim krokiem jest eksfiltracja, a Copilot dostarcza również narzędzie do tego. Korzystając z własnej wbudowanej funkcji pobierania adresów URL, przejęty asystent wysyła zebrane dane do webhooka kontrolowanego przez atakującego. Sesja ofiary, jej uprawnienia i własne funkcje Copilota działają dokładnie tak, jak zostały zaprojektowane. Nic w tym łańcuchu nie wymaga od niej popełnienia błędu.

Drugie drzwi: zatruwanie pamięci Copilota

Varonis ujawnił trzecią, oddzielną lukę obok łańcucha SearchLeak, dostępną przez funkcję podsumowywania stron internetowych w Copilocie. Zamiast wykradać dane za jednym razem, ta droga pozwala atakującemu podrzucić fałszywe lub zmanipulowane informacje do tego, co Copilot pamięta o użytkowniku, zatruwając jego pamięć przez treść, którą asystent ma podsumować.

To ma znaczenie, ponieważ zamienia jedną złośliwą stronę internetową w trwały problem, a nie jednorazowe zdarzenie. Pamięć asystenta ma czynić go bardziej użytecznym z czasem, przenosząc kontekst między sesjami. Zatruta pamięć przenosi wpływ atakującego między sesjami dokładnie w ten sam sposób, długo po tym, jak strona, która ją zaszczepiła, została już zamknięta.

Dlaczego to nie jest phishing

Klasyczny phishing polega na oszukaniu człowieka: kliknij ten link, wpisz tutaj hasło, zatwierdź to logowanie. Szkolenia z bezpieczeństwa istnieją po to, by wychwycić właśnie ten moment ludzkiej decyzji. SearchLeak nie ma takiego momentu. Ofiara nie kliknęła żadnego złośliwego linku, nie wpisała żadnych danych logowania i nie zobaczyła niczego przypominającego ostrzeżenie do zignorowania.

Atak uruchamia się, gdy asystent AI odczytuje treść, a nie gdy człowiek coś klika. To zupełnie inny wyzwalacz, leżący poza wszystkim, przed czym miały chronić szkolenia typu 'nie klikaj podejrzanych linków'. Pracownica, która postąpiłaby zgodnie z każdym istniejącym standardem, i tak mogłaby uruchomić ten łańcuch samym otwarciem pliku, który jej przesłano.

W tym tkwi sedno nowego ryzyka. Asystent AI z już przyznanym, stałym dostępem do poczty, plików i połączonych aplikacji danej osoby staje się pojedynczym punktem kompromitacji w chwili, gdy można go nakłonić do wykonania instrukcji ukrytych w treści, którą po prostu czyta. Sama użyteczność asystenta, zdolność do działania w czyimś imieniu bez konieczności ponownego zatwierdzania każdego kroku, jest cechą, która czyni ten atak możliwym.

Co firmy w UE i Wielkiej Brytanii powinny naprawdę sprawdzić

Microsoft ocenił SearchLeak jako krytyczny i już go naprawił, więc konkretna luka opisana tutaj jest zamknięta. To dobra wiadomość, ale nie powód, by przestać czytać. Wzorzec, do którego należy, wstrzykiwanie instrukcji przez treść, którą asystent AI przetwarza biernie, zamiast treści, w którą człowiek klika aktywnie, nie znika i powróci u innego połączonego asystenta z innym wyzwalaczem.

Dla każdej firmy wdrażającej dziś Microsoft 365 Copilot lub podobnie połączonego asystenta AI, użyteczne ćwiczenie to nie tylko szkolenie pracowników w rozpoznawaniu podejrzanych linków. Chodzi o pytanie, do czego można nakłonić tego asystenta z dostępem, który już posiada, oraz o traktowanie 'wstrzykiwania instrukcji przez treść przetwarzaną biernie' jako osobnej pozycji w ocenach ryzyka dostawców. Ponieważ ten stały dostęp zwykle dotyka danych osobowych, należy to również do ocen skutków przetwarzania danych zgodnie z RODO, a nie tylko do zaległości bezpieczeństwa IT.

Czytaj dalej: Francuski fiskus jest zwolniony z własnych kar RODO  |  Ukryte Rozumowanie AI Wycieka przez Tańsze Modele