Dall'AI al Furto Silente: Come un Solo Clic Poteva Esporre i Dati di Microsoft Copilot Enterprise

Un recente studio condotto da Varonis Threat Labs ha rivelato uno scenario allarmante: un singolo clic su un collegamento ospitato su un dominio autentico di Microsoft poteva trasformare silenziosamente Microsoft 365 Copilot Enterprise Search in uno strumento per il furto di dati. La catena d'attacco, ribattezzata SearchLeak, è stata tempestivamente corretta da Microsoft sul proprio backend e identificata formalmente come CVE-2026-42824. Poiché si tratta di una falla lato server, non è richiesto alcun intervento di patching da parte dei clienti. Tuttavia, questo caso costringe a una profonda riflessione sul modello di minaccia introdotto dagli assistenti AI negli ambienti aziendali.

Una Sintesi di Debolezze: Tre Bug, un Clic

SearchLeak dimostra una dinamica che gli analisti di sicurezza stanno riconoscendo con frequenza: l'iniezione di prompt (prompt injection) risveglia classi di vulnerabilità web storiche che si consideravano superate. L'attacco è stato possibile grazie alla combinazione di una debolezza specifica dell'IA con due bug classici ben noti.

1. L'Iniezione di Parametro: L'attacco inizia sfruttando il parametro q nell'URL di Copilot Enterprise Search, destinato a ospitare una query in linguaggio naturale. Copilot interpreta però questo parametro come istruzioni dirette, non come una semplice stringa di ricerca, un fenomeno che Varonis definisce parameter-to-prompt injection. Un attaccante può costruire un URL che ordina a Copilot di cercare nella casella di posta, prelevare il titolo di un'email e inserirlo all'interno dell'URL di un'immagine. La vittima, ignara, non digita nulla: basta un clic perché l'assistente esegua l'intero comando.

2. La Corsa Critica nel Rendering: Il secondo anello della catena sfrutta una race condition (condizione di corsa) nel rendering della risposta. I meccanismi di protezione di Microsoft incapsulano l'output di Copilot in blocchi di codice per garantire che il browser lo tratti come semplice testo. Tuttavia, la sanitizzazione avviene dopo la generazione, mentre il browser renderizza lo streaming in arrivo. Il tag img malevolo viene quindi reso e invia la sua richiesta prima che il filtro di sanitizzazione entri in azione.

3. Il Circuito della Content Security Policy: Il terzo bug permette di aggirare la Content Security Policy (CSP) della pagina. La CSP su m365.cloud.microsoft blocca le immagini da domini arbitrari, ma include in allowlist *.bing.com. L'endpoint Search by Image di Bing accetta l'URL di un'immagine e lo recupera lato server: puntando quel recupero verso il server dell'attaccante, con il testo rubato codificato nel percorso, Bing diventa di fatto un proxy di esfiltrazione, e la CSP non viene mai attivata poiché la richiesta parte dall'infrastruttura di Bing.

Quali Dati Potevano Essere Rubati

Copilot Enterprise eredita i privilegi di accesso dell'utente autenticato attraverso Microsoft Graph, il che significa che l'attaccante eredita questa portata senza dover mai effettuare l'autenticazione. Le informazioni più sensibili sono nella posta: codici monouso, codici MFA e link per il reset delle password, spesso validi per pochi minuti ma sufficienti per prendere il controllo di un account prima che la vittima se ne accorga. Lo stesso accesso si estende a inviti del calendario, note di riunione e a qualsiasi file SharePoint o OneDrive indicizzato da Copilot, dove sono memorizzati dati salariali, cifre di bilancio e piani di acquisizione aziendali.

Perché Questa Scoperta è Cruciale per la Difesa

SearchLeak non è un caso isolato. Sebbene non vada appiattito su precedenti, appartiene alla stessa famiglia di problemi: la prompt injection riattiva bug web obsoleti come SSRF e race condition nei sanitizzatori. Tuttavia, i meccanismi specifici cambiano. EchoLeak (CVE-2025-32711) era un attacco zero-click basato sull'LLM Scope Violation, mentre SearchLeak è one-click via URL. Questo schema one-click era già stato mostrato da Varonis con l'attacco Reprompt contro Copilot Personal, e ha dimostrato di reggere contro Enterprise Search nonostante i guardrail aggiuntivi.

Raccomandazioni per gli Amministratori di Tenant

Poiché Copilot Enterprise è un servizio gestito, gli amministratori non possono correggere le componenti difettose. Tuttavia, possono monitorare e contenere la minaccia. Le indicazioni operative concrete includono la ricerca di URL di Copilot Search che trasportano payload codificati o HTML nel parametro q e la segnalazione di richieste in uscita anomale verso gli endpoint immagine di Bing. Tra le leve di contenimento, c'è la possibilità di restringere la data governance per ridurre la quantità di dati indicizzati da Copilot, limitando così l'impatto di qualsiasi fuga futura.

La lezione di fondo per i professionisti B2B è che la superficie d'attacco degli assistenti AI non si misura sulle credenziali, ma sui privilegi ereditati: un agente utile a sufficienza da leggere la posta e i file aziendali è, per costruzione, un agente che si fida degli input e vuole essere d'aiuto. È il nodo centrale che ricorre nel furto di dati tramite catene di esfiltrazione: la fiducia è la funzione, non il difetto.