微软Copilot曝漏洞 恶意链接窃取邮件凭据

微软 Copilot 被曝出一个值得警惕的安全漏洞。安全公司 Varonis 的研究人员发现，攻击者能够构造出带有特定参数的恶意链接，诱导用户点击后，绕过原本应出现的用户确认环节，直接触发 Copilot 自动执行指令，进而窃取邮件内容与登录凭据。

Copilot 与多数 AI 助手类似，支持通过 URL 传递提示词。链接的基础部分可以唤起 Gmail 等已连接应用，而后续附加的参数则能够要求 AI 总结收件箱或起草邮件。研究人员正是利用这一机制，构造了同时携带“q”参数与“autorun=1”参数的链接。用户点击后，浏览器会在已登录会话中加载 Copilot，而 autorun=1 会触发自动执行，提示词无需用户做任何手势即可运行。

在完整攻击链中，被注入的指令可以搜索收件箱，提取发件人地址或密码凭据，并将其存入变量，随后拼接到攻击者控制的 webhook 网址中并自动打开，敏感数据由此被外发。为了掩盖行踪，外发内容还会先进行 Base64 编码。整个攻击分为五步：受害者点开精心构造的链接，已认证会话加载 Copilot，参数触发自动执行，Copilot 获得对会话上下文、已连接应用与记忆的完全访问权，即便用户立刻关掉标签页，提示词仍然会执行完毕，包括联网获取与多轮链式操作。

这一漏洞的核心风险在于，AI 助手被接入了私人账户之后，原本看似普通的链接就能变成隐私后门。攻击者无需直接控制设备，只需诱导用户点击一个精心设计的链接，就能借助 AI 助手自身的能力完成数据窃取。安全公司 Varonis 的发现再次提醒开发者和用户，当大模型具备调用外部应用和访问个人数据的权限时，需要更加审慎地设计验证与会话管理机制。

对于普通用户而言，避免点击来源不明的含参数链接，时刻关注 AI 助手的权限授予情况，是降低风险的基本方式。同时，AI 平台也应当对自动执行类参数进行更严格的限制，例如要求二次确认，或限制敏感操作权限，防止单次点击带来不可控的后果。