テクノロジーメディア Ars Technica は 8 月 18 日に、セキュリティ企業 Varonis がマイクロソフトの Copilot にセキュリティ上の脆弱性を発見したと報道しました。攻撃者は ?autorun=1 パラメータと ?q= を組み合わせて、ユーザーの確認を回避し、直接情報を盗むことができます。多くの AI アシスタントと同様に、Copilot は URL を使ってプロンプトを受け取ることができ、基本的な部分では Gmail などのアプリケーションを呼び出すことができます。後続のパラメータでは、受信トレイの要約やメールの作成を要求することができます。

image.png

5段階の攻撃チェーン、データが Base64 で外部送信される

研究者たちは、https://copilot.microsoft.com/?q=&autorun=1 のようなリンクを作成しました。ユーザーがクリックすると、ブラウザはログイン中のセッションで Copilot を読み込み、autorun=1 が自動実行をトリガーします。?q= に含まれるプロンプトは、何の操作も必要なく実行されます。注入されたコマンドは受信トレイを検索し、送信者アドレスやパスワードを抽出することができ、変数に格納されて攻撃者の制御下にある webhook ウェブサイトに自動的に送信され、機密情報が外部に送信されます。

行動を隠すために、送信されるコンテンツはまず Base64 に変換されます。完全な攻撃チェーンは次の5段階です：被害者が巧みに構築されたリンクをクリックする→認証済みのセッションで Copilot を読み込む→パラメータが自動実行をトリガーする→Copilot がセッションの文脈、接続されているアプリケーション、および記憶への完全なアクセス権を得る→タブをすぐに閉じても、プロンプトは実行を完了し、インターネット経由での取得や複数ステップの連鎖操作が行われます。この脆弱性は、AI アシスタントを個人アカウントに接続した場合、「一言のリンク」がプライバシーの後門になる可能性があることを示しています。