Microsoft brukte åtte måneder på å tette CoSnitch-hullet i Copilot

Åtte måneder gikk mellom varselet fra sikkerhetsselskapet Varonis 31. desember og den fullstendige rettelsen Microsoft leverte tirsdag 18. august, skriver CSO Online. Ett delelement, automatisk kjøring av prompt, ble lappet allerede 1. februar. Hullet lå i privatversjonen av Copilot, og det er den tredje Copilot-feilen Varonis har rapportert til Microsoft i år, etter Reprompt og SearchLeak.

CoSnitch kjeder sammen tre svakheter. En udokumentert URL-parameter kombinert med ?q= gjør at en angriperprompt kjører ved sidelasting, uten klikk eller bekreftelse. Prompten kan så spørre offerets tilkoblede tjenester, blant dem Gmail, Drive, Kalender og OneDrive, kode svaret inn i en URL og sende det til en webhook via Copilots egen URL-henting. Til slutt kan en nettside som Copilot oppsummerer skrive angriperens instruksjoner inn i det permanente minnet, der de overlever passordbytte, tilbakekalte sesjoner og ny enhetsregistrering.

Varonis fant hullet ved å be Copilot forklare hvorfor automatisk kjøring var umulig. Hver avvisning kom med en teknisk begrunnelse, og assistenten oppga til slutt den udokumenterte parameteren selv, uoppfordret.

«Minneforgiftningen er den delen som blir undervurdert, og den er den farligste. Hvert standard hendelsessteg lar injeksjonen ligge igjen» — Aman Mahapatra, strategidirektør i Tribeca Softtech

Microsoft svarte på e-post at kundene allerede er beskyttet og ikke trenger å gjøre noe, og at bedriftskunder på Microsoft 365 Copilot ikke er berørt. Den siste påstanden holder ikke helt: private Copilot-kontoer brukes rutinemessig på jobbmaskiner, og Microsoft slår nå produktene sammen under navnet Copilot Fusion. Feil i privatversjonen kan følge med over.

«Den eneste måten å stoppe det på for godt er å skru det av. Deaktiver makroer den gangen. Deaktiver Copilot nå» — Mark Tauschek, analytiker i Info-Tech Research Group

Hva bør du gjøre?

1. Åpne minneinnstillingene i Copilot og gå gjennom lagrede oppføringer. Injeksjonen ligger igjen der etter passordbytte, og nesten ingen brukere har åpnet den skjermen.
2. Behandle enhver KI-assistent som både henter nettsider og har OAuth-koblinger til e-post og filer som en potensiell eksfiltreringskanal, ikke som en chat.
3. Logg utgående URL-henting fra assistentene i stacken din. Det er den kanalen dataene forlater gjennom, og den ser ut som normal funksjonalitet.