Alcune vulnerabilità di Microsoft Copilot portano al furto di dati sensibili

La diffusione dell’intelligenza artificiale sta cambiando il mondo del lavoro e offrendo nuove opportunità di innovazione, ma anche ampliato la superficie di attacco: i cybercriminali non si sono fermati un attimo e negli ultimi due anni hanno ideato nuovi exploit e tecniche di attacco che sfruttano le vulnerabilità dei chatbot e altri tool di IA.

In un post sul suo blog, il ricercatore di sicurezza wunderwuzzi ha illustrato un exploit contro Microsoft 365 Copilot che, a partire dalla prompt injection, permette di esfiltrare i dati sensibili di un utente.

Il ricercatore ha spiegato che il copilota di produttività è vulnerabile a prompt injection da contenuti di terze parti, per esempio quando deve processare email e documenti. Nel dettaglio, l’attaccante ha condiviso col chatbot un documento Word con comandi specifici per trasformare Copilot in “Microsoft Defender per Copirate”, uno strumento di scam ampiamente usato.

In uno degli esempi condivisi, il ricercatore mostra il testo di un’email che viene fatto analizzare dal chatbot in cui si ordina al tool di cercare un’email con titolo “Slack confirmation code” per poi inviare il risultato a una pagina controllata dall’attaccante.

Credits: wunderwuzzi

Ottenuto il controllo del tool, l’attaccante può sfruttare una nuova tecnica chiamata “ASCII Smuggling” che usa caratteri Unicode speciali simili agli ASCII ma non visibili nell’interfaccia utente; ciò significa che il cybercriminale può fare in modo che il chatbot scriva questi caratteri invisibili in risposta all’utente e li integri in link cliccabili. A questo punto, se l’utente clicca sul link, i dati vengono inviati al server malevolo.

Wunderwuzzi ha individuato la catena di attacco a inizio anno e ha contattato immediatamente Microsoft condividendogli tutti i dettagli dell’exploit, reso noto solo ora. Attualmente l’exploit non funziona più, anche se Microsoft non ha chiarito come ha risolto il problema. Il ricercatore ha sottolineato però che Copilot è ancora vulnerabile ad attacchi di prompt injection.