Uma colaboradora abre uma página web. É tudo o que é preciso.
Uma colaboradora de uma empresa de média dimensão tem sessão iniciada no Microsoft Copilot Personal, tal como acontece hoje com a maioria da equipa, pelo menos parte do dia de trabalho. Abre uma página web que alguém lhe enviou, ou um documento partilhado que aguarda entre outros ficheiros na caixa de entrada. Lê um parágrafo, fecha o separador e continua. Nada na página parece suspeito. Não clica em nenhuma ligação dentro dela, não descarrega nada e não introduz nenhuma palavra-passe em lado nenhum.
Esse único gesto, abrir a página, é já todo o ataque. A empresa de investigação em segurança Varonis descobriu que um comando oculto embutido em conteúdo de aspeto comum basta para levar o Copilot a agir segundo as instruções de um atacante assim que lê esse conteúdo, dentro da sessão que ela já tem aberta. A Varonis batizou a falha de SearchLeak e divulgou-a juntamente com outras duas vulnerabilidades no Copilot Personal.
Duas falhas encadeadas equivalem a acesso total aos dados
A cadeia SearchLeak combina duas fragilidades distintas. Primeiro, um atacante cria uma página web ou um documento com um comando oculto e malicioso, escrito para parecer texto comum ou metadados em vez de uma instrução. Segundo, quando uma vítima já com sessão iniciada no Copilot visita essa página ou abre esse documento, o comando oculto executa-se automaticamente dentro da sua sessão autenticada. Nenhum clique adicional, nenhuma janela de confirmação e nenhum segundo aviso se interpõem entre o carregamento da página e a execução do comando.
Assim que o comando é executado com a autoridade dela, ordena ao Copilot que consulte tudo aquilo a que a vítima já lhe deu acesso: o seu e-mail, os seus ficheiros e qualquer aplicação de terceiros ligada à sua conta. O Copilot não lhe pede confirmação, porque, do seu próprio ponto de vista, está apenas a cumprir uma instrução dentro de uma sessão legítima já autenticada.
O último passo é a exfiltração, e o Copilot fornece também a ferramenta para isso. Usando a sua própria capacidade integrada de aceder a URLs, o assistente comprometido envia os dados recolhidos para um webhook controlado pelo atacante. A sessão da vítima, as suas autorizações e as próprias funcionalidades do Copilot funcionam exatamente como previsto. Nada nessa cadeia exige que ela cometa um erro.
Uma segunda porta: envenenar a memória do Copilot
A Varonis divulgou uma terceira falha, separada da cadeia SearchLeak, acessível através da função de resumo de páginas web do Copilot. Em vez de exfiltrar dados de uma só vez, esta via permite a um atacante introduzir informação falsa ou manipulada naquilo que o Copilot retém sobre um utilizador, envenenando a sua memória através de conteúdo que o assistente é solicitado a resumir.
Isto importa porque transforma uma única página web maliciosa num problema persistente em vez de um episódio isolado. A memória de um assistente destina-se a torná-lo mais útil ao longo do tempo, transportando contexto de uma sessão para a seguinte. Uma memória envenenada transporta a influência de um atacante entre sessões exatamente da mesma forma, muito depois de a página que a implantou já ter sido fechada.
Porque é que isto não é phishing
O phishing tradicional depende de enganar uma pessoa: clique nesta ligação, introduza aqui a sua palavra-passe, aprove este início de sessão. A formação em segurança existe para intercetar precisamente esse momento de decisão humana. O SearchLeak não tem esse momento. A vítima não clicou em nenhuma ligação maliciosa, não introduziu nenhuma credencial e não viu nada semelhante a um aviso a ignorar.
O ataque é acionado quando o assistente de IA lê conteúdo, não quando a pessoa clica em algo. Trata-se de um desencadeador completamente diferente, que fica fora de tudo aquilo para que a formação 'não clicar em ligações suspeitas' foi pensada. Uma colaboradora que tivesse feito tudo corretamente segundo qualquer norma existente podia, ainda assim, ter acionado esta cadeia apenas ao abrir um ficheiro que lhe tinham enviado.
Aqui está o cerne do novo risco. Um copiloto de IA com acesso já autorizado e permanente ao e-mail, aos ficheiros e às aplicações ligadas de uma pessoa torna-se um único ponto de compromisso a partir do momento em que pode ser induzido a seguir instruções ocultas num conteúdo que se limita a ler. A própria utilidade do assistente, poder agir em seu nome sem que tenha de reautorizar cada passo, é a propriedade que torna este ataque possível.
O que as empresas na UE e no Reino Unido deviam realmente verificar
A Microsoft classificou o SearchLeak como crítico e já o corrigiu, pelo que a falha concreta aqui descrita está fechada. Essa é uma boa notícia, e não o motivo para continuar a ler. O padrão a que pertence, a injeção de instruções através de conteúdo que um assistente de IA consome de forma passiva em vez de conteúdo em que uma pessoa clica ativamente, não vai desaparecer, e voltará a surgir noutro assistente ligado com outro desencadeador.
Para qualquer empresa que esteja agora a implementar o Microsoft 365 Copilot ou um assistente de IA ligado de forma semelhante, o exercício útil não é apenas formar a equipa para reconhecer ligações suspeitas. Consiste em perguntar a que pode esse assistente ser induzido com o acesso que já possui, e em tratar a 'injeção de instruções através de conteúdo consumido passivamente' como uma rubrica própria nas avaliações de risco de fornecedores. Como esse acesso permanente costuma tocar dados pessoais, isto pertence também às avaliações de impacto sobre a proteção de dados ao abrigo do RGPD, não apenas à lista pendente da segurança informática.
Leia a seguir: O fisco francês está isento das suas próprias coimas do RGPD | Raciocínio Oculto da IA Vaza para Modelos Baratos
