Ett hål i Copilot läckte företagsdata utan klick

En medarbetare öppnar en webbsida. Mer krävs inte.

En medarbetare på ett medelstort företag är inloggad på Microsoft Copilot Personal, precis som de flesta anställda är i dag, åtminstone en del av arbetsdagen. Hon öppnar en webbsida som någon har skickat henne, eller ett delat dokument som ligger och väntar bland andra filer i inkorgen. Hon läser ett stycke, stänger fliken och går vidare. Ingenting på sidan verkar misstänkt. Hon klickar inte på någon länk i den, laddar inte ner något och skriver inte in något lösenord någonstans.

Just den handlingen, att öppna sidan, är hela attacken. Säkerhetsforskningsföretaget Varonis upptäckte att en dold prompt inbäddad i till synes vanligt innehåll räcker för att få Copilot att agera enligt en angripares instruktioner så snart den läser innehållet, inom sessionen hon redan har öppen. Varonis döpte felet till SearchLeak och avslöjade det tillsammans med två andra sårbarheter i Copilot Personal.

Två sammankopplade fel ger full tillgång till data

SearchLeak-kedjan kombinerar två separata svagheter. För det första utformar en angripare en webbsida eller ett dokument med en dold, skadlig prompt, skriven för att likna vanlig text eller metadata snarare än en instruktion. För det andra körs den dolda prompten automatiskt inom den autentiserade sessionen när ett offer som redan är inloggat på Copilot besöker sidan eller öppnar dokumentet. Inget ytterligare klick, ingen bekräftelsedialog och ingen andra varning står mellan sidans laddning och prompten som körs.

När prompten väl körs med hennes behörighet ber den Copilot fråga efter allt offret redan har gett den tillgång till: hennes e-post, hennes filer och alla tredjepartsappar som är kopplade till hennes konto. Copilot ber henne inte om bekräftelse, eftersom det ur sitt eget perspektiv bara utför en instruktion inom en legitim, redan autentiserad session.

Sista steget är exfiltrering, och även där levererar Copilot verktyget. Med sin egen inbyggda förmåga att hämta URL:er skickar den komprometterade assistenten den insamlade datan till en webhook som styrs av angriparen. Offrets session, hennes behörigheter och Copilots egna funktioner arbetar precis som avsett. Inget i den kedjan kräver att hon gör ett misstag.

En andra dörr: att förgifta Copilots minne

Varonis avslöjade ett tredje, separat fel vid sidan av SearchLeak-kedjan, nåbart via Copilots funktion för att sammanfatta webbsidor. Istället för att exfiltrera data i ett svep låter den här vägen en angripare plantera falsk eller manipulerad information i det Copilot minns om en användare, och förgifta minnet via innehåll som assistenten ombeds sammanfatta.

Det spelar roll eftersom det gör en enda skadlig webbsida till ett bestående problem snarare än en engångshändelse. En assistents minne ska göra den mer användbar över tid genom att bära kontext mellan sessioner. Ett förgiftat minne bär en angripares inflytande mellan sessioner på precis samma sätt, långt efter att sidan som planterade det har stängts.

Varför det här inte är nätfiske

Traditionellt nätfiske bygger på att lura en person: klicka på den här länken, ange ditt lösenord här, godkänn den här inloggningen. Säkerhetsutbildning finns för att fånga just det ögonblicket av mänskligt beslutsfattande. SearchLeak har inte det ögonblicket. Offret klickade inte på någon skadlig länk, angav inga inloggningsuppgifter och såg ingenting som liknade en varning att ignorera.

Attacken utlöses när AI-assistenten läser innehåll, inte när människan klickar på något. Det är en helt annan utlösare, som ligger utanför allt som utbildningen 'klicka inte på misstänkta länkar' var byggd för att förhindra. En medarbetare som gjort allt rätt enligt varje befintlig standard hade ändå kunnat utlösa den här kedjan bara genom att öppna en fil hon fått skickad till sig.

Här ligger kärnan i den nya risken. En AI-copilot med redan godkänd, stående tillgång till en persons e-post, filer och anslutna appar blir en enda kompromettpunkt i det ögonblick den kan luras att följa instruktioner dolda i innehåll den bara läser. Just den nytta assistenten ger, att den kan agera å dina vägnar utan att du behöver godkänna varje steg på nytt, är den egenskap som gör attacken möjlig.

Vad företag i EU och Storbritannien verkligen bör kontrollera

Microsoft klassade SearchLeak som kritiskt och har redan åtgärdat det, så det specifika felet som beskrivs här är stängt. Det är goda nyheter, och inte anledningen att fortsätta läsa. Mönstret det tillhör, promptinjektion via innehåll en AI-assistent tar emot passivt istället för innehåll en människa aktivt klickar på, försvinner inte, och det kommer att dyka upp igen hos någon annan uppkopplad assistent med en annan utlösare.

För alla företag som nu inför Microsoft 365 Copilot eller en liknande uppkopplad AI-assistent är den användbara övningen inte bara att träna personalen i att upptäcka misstänkta länkar. Det handlar om att fråga vad den assistenten kan luras till med den åtkomst den redan har, och att behandla 'promptinjektion via passivt konsumerat innehåll' som en egen post i leverantörers riskbedömningar. Eftersom den stående åtkomsten oftast berör personuppgifter hör detta också hemma i konsekvensbedömningar av databehandling enligt GDPR, inte bara i IT-säkerhetens eftersläpning.

Läs vidare: Frankrikes skattemyndighet är undantagen från sina egna GDPR-böter  |  Dolt AI-resonemang Läcker via Billigare Systermodeller