❦The Daily Commit❦ ☾The Nightly Build☽

La firma de seguridad Varonis ha revelado un ataque de un clic contra Microsoft 365 Copilot Enterprise que exfiltra datos sensibles del usuario, incluidas contraseñas, hacia un servidor controlado por el atacante. El detalle llamativo: los investigadores no hallaron la vulnerabilidad crítica mediante ingeniería inversa, sino preguntándole al propio Copilot.

El investigador senior Lior Adar y su equipo interrogaron al asistente sobre sus barreras de seguridad, que normalmente exigen un gesto explícito del usuario antes de ejecutar comandos potentes. Cada negativa revelaba detalles de la arquitectura. Finalmente, Copilot expuso un parámetro de prompt no documentado, ?autorun=1, que elude por completo el requisito de consentimiento. Combinado con el conocido parámetro ?q=, que inyecta texto en el campo de entrada del chatbot, una URL manipulada como https://copilot.microsoft.com/?q=...&autorun=1 disparaba el prompt incrustado en cuanto la víctima hacía clic en el enlace.

Un prompt de demostración ordenaba a Copilot identificar al remitente del correo más reciente, guardarlo en una variable y anexarlo a una URL del atacante. Otro buscaba contraseñas en el buzón y filtraba cualquier hallazgo. Los datos robados se codificaban en base64 y se transmitían abriendo automáticamente una página alojada por el atacante. El prompt se ejecutaba por completo incluso si la pestaña de Copilot se cerraba inmediatamente, con acceso pleno a la sesión, las aplicaciones conectadas y la memoria de la víctima.

Varonis también mostró un segundo ataque que envenena la memoria permanente de Copilot mediante una inyección de prompt oculta en los metadatos de una página web. Cuando el usuario pedía resumir la página, el asistente escribía instrucciones del atacante en la memoria, donde persistían tras cambios de contraseña, revocaciones de sesión y nuevos registros de dispositivos. Detectarlo exigiría inspeccionar manualmente el contenido de la memoria.

Microsoft aplicó una mitigación parcial y silenciosa en febrero, tres meses después del informe de Varonis, al impedir que ?q= inyectara texto, lo que también rompió integraciones legítimas de navegadores de terceros. Correcciones más completas llegaron el martes. Varonis denomina Co-Snitch a esta familia de ataques; sigue a sus anteriores ataques de un clic contra Copilot Personal y a la técnica de exfiltración SearchLeak demostrada en junio. La conclusión de los investigadores: la seguridad de los LLM sigue basándose en barreras reactivas que fallan bajo presión, en lugar de arquitecturas que impidan el abuso por diseño.