微软Copilot漏洞被披露可窃取隐私

据科技媒体Ars Technica报道，安全公司Varonis的研究人员近日披露了微软Copilot存在的一处安全漏洞。该漏洞允许攻击者通过精心构造的URL，绕过用户的确认操作，在用户无感知的情况下窃取其隐私数据。这一问题影响了Copilot的提示词处理机制，为AI助手的安全使用敲响了警钟。

与多数AI助手一样，Copilot支持通过URL直接接收提示词。URL的基础部分可让模型打开Gmail等应用，后续参数和文本则能要求助手总结收件箱内容或起草邮件。研究人员发现，Copilot中存在一个名为?autorun=1的参数，将其与?q=参数配合使用，可以构造出形如https://copilot.microsoft.com/?q=&autorun=1的恶意链接。当用户点击该链接后，浏览器会在用户已登录的会话中加载Copilot，?autorun=1会触发自动执行，而?q=中的提示词则无需任何用户手势即可运行。

研究人员构造了具体的攻击提示词，要求Copilot搜索收件箱，找出最新收到的邮件，仅提取发件人的电子邮件地址，并将结果保存到名为SUPPORT的变量中。随后，Copilot会生成一个指向攻击者控制网站的URL，并执行“总结URL”的命令。攻击者可以将该恶意链接通过电子邮件、聊天消息、钓鱼页面或二维码等渠道发送给受害者。用户一旦点击，敏感信息就会被附加到另一个URL，并由Copilot自动在设备上打开。由于该页面托管在攻击者控制的网站上，数据最终会流向攻击者。

研究人员还设计了另一条提示词，让Copilot在收件箱中搜索密码和其他凭据。只要发现相关秘密，助手就会将其发送到同类攻击者控制的服务器。为了隐藏数据窃取行为并降低传输错误，外传内容会先转换为Base64格式——一种将二进制数据编码为文本的常见编码方式。

Varonis列出的攻击链共包含五个步骤：第一步，受害者点击攻击者精心构造的网址，该网址可通过电子邮件、聊天、钓鱼页面或二维码传播；第二步，浏览器在受害者的活动且已通过身份验证的会话中加载co-pilot.microsoft.com；第三步，参数?autorun=1触发自动执行，?q=提示符在没有任何用户操作的情况下弹出；第四步，Copilot处理注入的提示符，并拥有对受害者会话上下文、已连接应用和内存的完全访问权限；第五步，即使在加载完成后立即关闭Copilot选项卡，提示符仍会执行完毕，包括任何网络获取、连接器调用或多轮链操作。

这一漏洞揭示了AI助手在集成第三方应用和自动执行功能时潜在的安全风险。尽管Copilot本身具备强大的生产力提升能力，但此次事件表明，开发者在设计自动执行机制时，必须充分考虑用户确认的必要性与安全性，以防被恶意利用。