EchoLeak: è arrivata la prima vulnerabilità zero clic per le IA (Microsoft 365 Copilot)

Nel gennaio 2025, i ricercatori di Aim Labs hanno scoperto un nuovo tipo di attacco che cambia le regole della sicurezza per i sistemi basati su intelligenza artificiale. EchoLeak è la prima vulnerabilità zero-click nota che consente di estrarre dati sensibili da Microsoft 365 Copilot senza alcuna interazione da parte dell’utente. La gravità della falla ha spinto Microsoft ad assegnarle un codice CVE (CVE-2025-32711) e a classificarla come critica, con una correzione già distribuita lato server a maggio.

Secondo quanto dichiarato da Microsoft, non ci sono prove di sfruttamenti reali e nessun utente è stato colpito. La vulnerabilità è stata quindi risolta prima di causare danni concreti, ma rappresenta un precedente pericoloso. Dimostra infatti che anche i sistemi apparentemente protetti da barriere interne possono essere manipolati sfruttando le dinamiche dei modelli linguistici.

Microsoft 365 Copilot integra i modelli GPT con Graph proprietario per assistere gli utenti nelle applicazioni di Office, dall’analisi dei dati alla redazione dei contenuti. Il cuore della vulnerabilità risiede nel modo in cui l’IA gestisce e comprende il contesto, specialmente quando entra in gioco il Retrieval-Augmented Generation (RAG). Anche senza codice eseguibile, una semplice frase strutturata nel modo giusto può indurre il sistema a comportarsi in modo anomalo. Dal momento che Microsoft 365 assite l’utente in molte delle applicazioni office, da outlook a word passando per excel e powerpoint, la superficie d’attacco era molto ampia.

EchoLeak rientra in una nuova categoria di vulnerabilità, nota come LLM Scope Violation, in cui il modello linguistico accede e diffonde dati riservati pur non essendo autorizzato. Il modello viene ingannato con istruzioni nascoste che agiscono all’interno del prompt, eludendo i sistemi di difesa automatica come XPIA. Questo comportamento può essere sfruttato in modo automatico e silenzioso in ambienti aziendali complessi.

Nel caso specifico, tutto inizia con l’invio di una email costruita per sembrare innocua, ma che contiene una prompt injection invisibile all’utente. Quando l’utente, anche giorni dopo, pone a Copilot una domanda correlata, la mail viene recuperata e inserita nel contesto operativo del modello. A quel punto, il codice nascosto guida il sistema verso la raccolta di dati interni, che vengono poi inglobati in link o immagini.

Il meccanismo sfrutta il fatto che alcuni formati grafici attivano automaticamente richieste verso URL esterni. In questo modo, anche senza clic o conferme, i dati possono essere inviati ai server dell’attaccante. Domini come quelli di Teams e SharePoint sono ritenuti attendibili dal sistema e possono quindi fungere da veicoli perfetti per l’esfiltrazione.

Benché la falla sia stata corretta, la sua scoperta solleva interrogativi sull’efficacia delle difese tradizionali. Con la crescente integrazione di LLM nei flussi di lavoro, nuove vulnerabilità di questo tipo sono destinate a emergere.Per proteggersi, le aziende devono rafforzare i sistemi di controllo dei prompt in ingresso, applicare filtri post-elaborazione alle risposte generate e impedire la generazione automatica di link o dati strutturati. È altrettanto fondamentale configurare i motori RAG per evitare il recupero di contenuti potenzialmente dannosi provenienti da email, documenti o repository non verificati.