Especialistas Varonis encontraram uma maneira de transformar o Microsoft 365 Copilot, um assistente corporativo, em um espião real: a vítima só precisa clicar em um link malicioso uma vez, e o bot irá enviar senhas de e-mail para atacantes por conta própria. A parte mais curiosa é que o próprio Copilot revelou o segredo decisivo.
Como o Copiloto revelou o seu segredo principal
Os pesquisadores começaram a fazer perguntas simples sobre seu próprio sistema de segurança. Quando o bot rejeitou um comando, ele geralmente explicou por quê. Essas explicações, acumulando-se, revelaram o funcionamento interno do serviço. Eventualmente, os especialistas encontraram um parâmetro não documentado ?autorun=1. Funcionou em conjunto com o padrão ?q=: se você dá a um usuário um link como https://copilot.microsoft.com/?q=&autorun=1, o texto da consulta executa automaticamente o momento em que a pessoa clica no link. Não é necessária confirmação adicional.
O que as instruções maliciosas poderiam fazer
Usando tal "buraco", foi possível fazer o bot executar cenários inteiros. Uma das verificações era assim: Copilot teve que pegar o e-mail mais recente da caixa de entrada, extrair o endereço do remetente dele e abrir uma URL no webhook. sítio — envio efectivo de dados para fora. Outra opção era muito mais perigosa: o bot recebeu um comando para encontrar senhas e logins em e-mail, em seguida, encaminhá-los para um servidor controlado pelo atacante. Para evitar que os dados roubados fossem danificados durante a transmissão e evitar chamar a atenção, foi codificado na base64.
Co-Snitch: um ataque à memória do assistente
Os investigadores não pararam por aí. Eles inventaram uma maneira de infectar a memória do próprio Microsoft 365 Copilot. Se um usuário pedir ao bot para resumir o conteúdo de uma página web que tenha instruções ocultas nele incorporadas, o bot executa essas instruções e altera seus dados salvos sobre a pessoa. Pior de tudo, tais mudanças sobrevivem a mudanças de senha, revogação de todas as sessões, e até mesmo re-registo de dispositivos. O ataque foi nomeado Co-Snitch - uma continuação das experiências anteriores de Varonis com Copilot Personal.
Resposta e conclusões da Microsoft
A Microsoft fechou a vulnerabilidade crítica em fevereiro, três meses após Varonis ter relatado. O primeiro patch foi simplesmente banido ?q= da inserção de texto no campo do chat, e na terça-feira a empresa lançou uma correção mais abrangente. Mas a história em si está contando: Assistentes de IA com acesso a e-mail e dados pessoais podem se tornar um canal de vazamento ideal, e nenhum filtro "inteligente" garante segurança. Ataques baseados em prompt não são ficção científica, mas uma realidade que tanto desenvolvedores quanto usuários terão que conviver agora.
