研究者はMicrosoftのCopilotに未記載のautorun=1パラメータを発見し、攻撃者がURLに直接プロンプトを埋め込めることを確認しました。例えば https://copilot.microsoft.com/?q=&autorun=1 のような精巧に作られたリンクは、Copilotを起動してユーザーのGmailをスキャンし、機密データを攻撃者が制御するエンドポイントに送信します。ある注入では最新の送信者のアドレスを抽出し、SUPPORTという変数に保存して webhook.site のURLに投稿しました。別のプロンプトは受信トレイ内のパスワードを検索し、見つかった認証情報をBase64でエンコードして外部に送信します。攻撃者はメール、チャット、またはQRコードでリンクを配布し、クリックするとCopilotはユーザーの承認なしに隠れたプロンプトを実行し、ブラウザタブがすぐに閉じても動作します。Varonisは手順を概説し、後に隠れたメタデータでCopilotの永続メモリストアを汚染する二度目の攻撃を明らかにしました。これにより将来の偏った応答や自動化された操作が可能になります。この脆弱性はCopilotのガードレールが回避できることを示し、ユーザーをデータ盗難や操作のリスクにさらします。Microsoftはまだパッチをリリースしていませんが、ユーザーにCopilotの権限を確認し、疑わしいリンクをクリックしないよう推奨しています。セキュリティチームはCopilotからの予期しないAPI呼び出しを監視し、可能な場合はautorun機能を無効にすることを検討すべきです。
出典: Ars Technica · 要約：HeadlinesBriefing