Microsoft Copilot сам здав хакерам секретний спосіб власного злому

Фахівці з кібербезпеки компанії Varonis перевіряли механізми захисту Microsoft 365 Copilot і виявили, що тримати корпоративні таємниці розумний асистент не вміє взагалі.

Дослідники не намагалися зламати систему грубою силою, а влаштували мовній моделі опитування щодо внутрішніх структур URL-посилань і логіки автозапуску команд. У результаті розмови Copilot видав секретний недокументований параметр ?autorun=1, який повністю вимикав обов'язкове підтвердження дій користувачем.

У комбінації зі звичайним полем запиту шкідливе посилання виконувалося в активній робочій сесії жертви абсолютно непомітно. Користувачеві було достатньо лише перейти за лінком із чату чи пошти.

Шкідливий запит змушував AI шукати в пошті паролі чи конфіденційні листи та непомітно надсилати їх на сторонній сервер у форматі base64. Інструкція добігала кінця у фоновому режимі, навіть якщо жертва одразу закривала відкриту вкладку браузера.

Крім того, дослідники показали можливість «отруєння» довготривалої памʼяті асистента через приховані метадані вебсторінок, які змушували бота маніпулювати майбутніми відповідями навіть після зміни паролів облікового запису. Microsoft закрила дірку через три місяці після звіту, заблокувавши виконання параметрів запиту в полі вводу.

Складні інженерні експлойти відходять у минуле, поступаючись місцем звичайній розмові з нейромережею, яка сама здає ключі від корпоративного периметра. Надання асистентам прямого доступу до всієї корпоративної кореспонденції разом із можливістю клікати зовнішні посилання залишається вершиною сучасної цифрової трансформації.

Джерело: Ars Technica