Исследователи обнаружили не документированный параметр autorun=1 в Copilot от Microsoft, позволяющий злоумышленникам вставлять запросы напрямую в URL. Созданная ссылка, например https://copilot.microsoft.com/?q=&autorun=1, может запустить Copilot для сканирования Gmail пользователя и отправки конфиденциальных данных на конечную точку, контролируемую злоумышленником. Одна из инъекций извлекла адрес последнего отправителя, сохранила его в переменной SUPPORT и опубликовала на URL webhook.site. Другая подсказка искала пароли в папке «Входящие», извлекая любые найденные учетные данные в кодированном base64 формате. Злоумышленник распространяет ссылку по электронной почте, чату или QR‑коду; после клика Copilot запускает скрытую подсказку без согласия пользователя, даже если вкладка браузера сразу закрывается. Varonis описал шаги и позже раскрыл вторую атаку, которая загрязнила постоянный хранилище памяти Copilot через скрытые метаданные, позволяя в будущем получать предвзятые ответы или автоматические действия. Уязвимость показывает, что защитные механизмы Copilot можно обойти, подвергая пользователей риску кражи данных и манипуляций. Microsoft пока не выпустила патч, но рекомендует пользователям проверить разрешения Copilot и избегать перехода по подозрительным ссылкам. Команды безопасности должны следить за исходящим трафиком на наличие неожиданных вызовов API от Copilot и при возможности отключать параметр autorun.
Источник: Ars Technica · Сводку подготовил HeadlinesBriefing