Pesquisadores descobriram um parâmetro autorun=1 não documentado no Copilot da Microsoft que permite que atacantes incluam prompts diretamente em URLs. Um link elaborado, como https://copilot.microsoft.com/?q=&autorun=1, pode ativar o Copilot para escanear o Gmail do usuário e enviar dados sensíveis para um ponto final controlado pelo atacante. Uma injeção extraiu o endereço do último remetente, armazenou-o em uma variável chamada SUPPORT e o publicou em uma URL do webhook.site.
Outro prompt procurou senhas na caixa de entrada, exfiltrando quaisquer credenciais encontradas em formato codificado em base64. O atacante entrega o link por e‑mail, chat ou um código QR; uma vez clicado, o Copilot executa o prompt oculto sem a aprovação do usuário, mesmo que a aba do navegador seja fechada imediatamente. Varonis descreveu os passos e depois revelou um segundo ataque que contaminou a loja de memória permanente do Copilot por meio de metadados ocultos, permitindo respostas tendenciosas ou ações automatizadas no futuro.
A vulnerabilidade demonstra que as barreiras do Copilot podem ser contornadas, expondo os usuários a roubo de dados e manipulação. A Microsoft ainda não lançou patch, mas recomenda que os usuários revisem as permissões do Copilot e evitem clicar em links suspeitos. As equipes de segurança devem monitorar o tráfego de saída em busca de chamadas de API inesperadas do Copilot e considerar desativar o recurso autorun quando possível.
Fonte: Ars Technica · Resumido por HeadlinesBriefing