Los investigadores descubrieron un parámetro autorun=1 no documentado en Copilot de Microsoft que permite a los atacantes insertar prompts directamente en las URLs. Un enlace elaborado, como https://copilot.microsoft.com/?q=&autorun=1, puede activar Copilot para escanear el Gmail del usuario y enviar datos sensibles a un punto final controlado por el atacante. Una inyección extrajo la dirección del último remitente, la almacenó en una variable llamada SUPPORT y la publicó en una URL de webhook.site.
Otra solicitud buscó contraseñas en la bandeja de entrada, exfiltrando cualquier credencial encontrada en forma codificada en base64. El atacante entrega el enlace por correo electrónico, chat o un código QR; una vez hecho clic, Copilot ejecuta el prompt oculto sin la aprobación del usuario, incluso si la pestaña del navegador se cierra inmediatamente. Varonis describió los pasos y luego reveló un segundo ataque que contaminó la tienda de memoria permanente de Copilot mediante metadatos ocultos, permitiendo respuestas sesgadas o acciones automatizadas en el futuro.
La vulnerabilidad demuestra que las barreras de Copilot pueden ser eludidas, exponiendo a los usuarios a robo de datos y manipulación. Microsoft aún no ha emitido un parche, pero recomienda a los usuarios revisar los permisos de Copilot y evitar hacer clic en enlaces sospechosos. Los equipos de seguridad deben monitorear el tráfico saliente en busca de llamadas API inesperadas de Copilot y considerar desactivar la función autorun cuando sea posible.
Fuente: Ars Technica · Resumido por HeadlinesBriefing