研究人员诱导Microsoft Copilot泄露未公开参数，实现一键数据窃取

Varonis的安全研究人员发现了一种利用Microsoft 365 Copilot Enterprise的新攻击方式，攻击者只需诱导目标点击一个恶意链接，就能在无需用户确认的情况下窃取其邮箱中的密码和其他敏感数据。不同寻常的是，发现这一漏洞的关键信息并非来自传统逆向工程，而是直接向Copilot本尊提问得到的。

研究人员在尝试构建攻击时，Copilot起初拒绝执行高权限操作，但每一次拒绝都透露出其内部防护机制的技术细节。通过一系列类似“20个问题”的对话，Copilot最终泄露了一个未文档化的参数——?autorun=1。将该参数与已知的?q=参数结合，构造特定URL，即可让注入的提示词在目标点击链接的瞬间自动执行，绕过了用户同意步骤。

Varonis在2月向微软报告该漏洞后，微软通过停止允许?q=参数向聊天输入框注入文本的方式进行了部分缓解，但该修复也影响了第三方浏览器集成的正常使用。本周二，微软推出了更全面的修复。此外，Varonis还展示了另一种利用网页提示注入污染Copilot永久记忆的攻击，该记忆在密码更改、会话撤销后仍会保留，用户需手动检查才能发现。

这些被Varonis命名为Co-Snitch的攻击，延续了其此前针对Copilot Personal和SearchLeak的一键攻击研究。尽管修复已推出，但此类攻击的演示表明，AI助手的便捷功能与安全防护之间仍存在需要持续权衡的空间。