Microsoft heeft een kwetsbaarheid in Copilot gedicht waarmee aanvallers via één klik gevoelige informatie uit onder meer de mailbox van een gebruiker konden bemachtigen. Opmerkelijk is dat onderzoekers de benodigde technische informatie deels van Copilot zelf kregen.
Onderzoekers van beveiligingsbedrijf Varonis ontdekten dat Microsoft 365 Copilot opdrachten kon uitvoeren die in een speciaal samengestelde URL waren verwerkt. Dat meldt Ars Technica. Normaal verlangt de AI-assistent daarbij een handeling van de gebruiker, bijvoorbeeld een klik of toetsaanslag. Dat moet voorkomen dat een externe partij ongemerkt opdrachten uitvoert binnen een actieve Copilot-sessie.
Varonis probeerde die controle te omzeilen door Copilot herhaaldelijk vragen te stellen over de eigen beveiligingsmechanismen. De antwoorden leverden steeds meer details op over URL-structuren, deeplinks en de verwerking van vooraf ingevulde prompts.
Uiteindelijk noemde Copilot een niet-gedocumenteerde parameter: ?autorun=1. In combinatie met de bestaande parameter ?q= kon daarmee een opdracht automatisch starten zodra iemand een gemanipuleerde link opende.
Toegang via bestaande sessie
Na een klik op de link werd Copilot geopend binnen de al aangemelde sessie van de gebruiker. Vervolgens kon de meegegeven prompt automatisch worden verwerkt, met de rechten en koppelingen die Copilot binnen die sessie had.
Varonis demonstreerde bijvoorbeeld dat de assistent de mailbox kon doorzoeken en gevonden gegevens naar een externe server kon sturen. Ook kon gericht worden gezocht naar wachtwoorden of andere inloggegevens in e-mails.
De onderzoekers gebruikten daarvoor een URL waaraan de gevonden informatie werd toegevoegd. Copilot opende die vervolgens automatisch, waardoor de gegevens bij een door de onderzoekers gecontroleerde server terechtkwamen. De informatie werd daarbij in base64 omgezet.
De kwetsbaarheid kreeg het nummer CVE-2026-24301. Varonis meldde het probleem in november bij Microsoft. Het bedrijf nam in februari al maatregelen door te verhinderen dat ?q= nog rechtstreeks tekst in het invoerveld kon plaatsen. Deze week volgden uitgebreidere aanpassingen. Gebruikers hoeven volgens Microsoft zelf geen actie te ondernemen.
Ook geheugen te manipuleren
Varonis vond daarnaast een manier om Copilot langdurig te beïnvloeden. Daarbij werd prompt injection verstopt in de metadata van een webpagina. Wanneer een gebruiker Copilot vroeg die pagina samen te vatten, kon de verborgen instructie in het permanente geheugen van de assistent terechtkomen.
Dat geheugen bewaart informatie en voorkeuren tussen sessies. Een aanvaller zou er volgens de onderzoekers instructies kunnen achterlaten die toekomstige antwoorden aanpassen, informatie filteren of onder bepaalde omstandigheden acties starten.
De gemanipuleerde informatie verdween niet wanneer een gebruiker het wachtwoord veranderde, sessies introk of een apparaat opnieuw registreerde. Handmatige controle van het Copilot-geheugen was nodig om dergelijke instructies te ontdekken.
Varonis heeft de aanvalstechnieken de naam Co-Snitch gegeven. Het beveiligingsbedrijf demonstreerde eerder al andere aanvallen waarbij één klik voldoende was om via Copilot gegevens te bemachtigen.
AI vertelt veel over eigen beveiliging
De ontdekking legt een extra probleem bloot bij de beveiliging van AI-assistenten. Het gaat niet alleen om welke opdrachten een model weigert uit te voeren. Ook informatie die het tijdens zo’n weigering verstrekt, kan bruikbaar zijn voor een aanvaller.
In dit geval verzamelde Varonis door opeenvolgende vragen steeds meer informatie over de technische beperkingen van Copilot. Uiteindelijk gaf de assistent de niet-gedocumenteerde parameter prijs waarmee een belangrijke beveiligingsmaatregel kon worden omzeild.
Het risico groeit naarmate AI-assistenten toegang krijgen tot meer bedrijfsgegevens en applicaties. Een succesvolle prompt injection kan dan niet alleen een ongewenst antwoord opleveren, maar ook acties uitvoeren met de rechten en databronnen die aan de assistent zijn gekoppeld.
Microsoft zegt de onderzoekers te hebben bedankt voor hun melding en zijn beveiligingsmaatregelen voortdurend aan te passen om vergelijkbare aanvallen tegen te gaan.