🤖 Новость · Habr
🤖 Новость · Habr Microsoft Copilot раскрыл способ обхода защиты при помощи специально сформированных URL 🧭 Что произошло Исследователи из компании Varonis обнаружили, что Microsoft 365 Copilot может раскрыть уязвимость, позволяющую обойти защиту и получить доступ к пользовательским данным. Используя методику, похожую на игру "20 вопросов", исследователи заставили ИИ-помощника раскрыть недокументированный параметр запроса ?autorun=1, который в сочетании с параметром ?q= позволял незаметно выполнить вредоносный запрос при переходе пользователя по ссылке. 🔢 Ключевые факты • Исследователи из компании Varonis обнаружили уязвимость в Microsoft 365 Copilot, которая позволяет получить доступ к пользовательским данным. • Уязвимость позволяла получить доступ к пользовательским данным при переходе по вредоносной ссылке. • Исследователи использовали метод, похожий на игру "20 вопросов", чтобы узнать о механизмах защиты Copilot. • Copilot раскрыл недокументированный параметр запроса ?autorun=1, который обходил требование согласия пользователя. • Вредоносный запрос формировался с использованием строки ?autorun=1 в сочетании с параметром ?q=. • С помощью уязвимости исследователи могли создать URL-адрес, который при переходе передавал конфиденциальную информацию на сервер злоумышленника. • Другая атака, разработанная Varonis, использовала внедрение запроса в веб-страницу для отравления постоянного хранилища памяти Copilot. • Microsoft устранила уязвимость, запретив использование параметру ?q= для вставки текста в поле ввода чат-бота. • Microsoft заявила, что клиенты уже защищены от обнаруженных уязвимостей. ⚖️ Почему это важно Microsoft устранила уязвимость, запретив использование параметрам ?q= для вставки текста в поле ввода чат‑бота, и представила более комплексные исправления. 👀 Что отслеживать Пользователям следует с осторожностью относиться к ссылкам из ненадёжных источников и отслеживать диалоги на предмет необычных результатов. ↗ Оригинал: https://habr.com/ru/news/1072328/