Surnommée CoSnitch par le chercheur en sécurité qui l’a découverte, la faille exécute une chaîne d’attaque qui exfiltre les données des entreprises sans aucun signal d’alarme évident.
Près de huit mois après avoir confirmé une vulnérabilité de sécurité critique dans la version personnelle de son assistant IA, Copilot, Microsoft a publié mardi un correctif pour combler cette faille, qui repose sur l’incapacité d’un LLM à distinguer les données d’une requête d’une instruction.
Le trou CoSnitch a été découvert par Varonis et a marqué le troisième bug de Copilot que Varonis a signalé à Microsoft cette année, après Reprompt, qui contournait les garde-fous de Copilot en répétant les requêtes, et SearchLeak, qui, selon Varonis, a transformé Microsoft 365 Copilot Enterprise en « un outil d’exfiltration silencieux. Tous les trois partagent le même modèle d’exploitation : un clic sur un lien d’apparence légitime suffit ».
Un blog détaillé, publié mardi par Varonis, a déclaré que les capacités du trou étaient significatives.
CoSnitch s’est appuyé sur un attaquant exploitant trois failles différentes de Copilot, a écrit Varonis :
- Exécution rapide automatique. « Le paramètre d’URL ?q=, combiné à un paramètre non documenté, provoque l’exécution instantanée de toute invite fournie par un attaquant au chargement de la page : pas de clic, pas de confirmation, pas d’action de l’utilisateur. Un seul lien suffit. »
- Exfiltration de données vers des serveurs externes. « Une invite injectée peut interroger les applications connectées de la victime, telles que Gmail, Drive, Calendar ou OneDrive, encoder les résultats dans une URL et les exfiltrer via la capacité de récupération d’URL intégrée de Copilot vers un webhook contrôlé par l’attaquant. »
- Empoisonnement persistant de la mémoire via un résumé Web. « Une page Web contrefaite, lorsqu’elle est résumée par Copilot, injecte des instructions de l’attaquant dans la mémoire permanente de la victime. L’injection survit aux changements de mot de passe, à la révocation de session et à la réinscription de l’appareil, et persiste pour toujours. »
Mais l’élément potentiellement le plus intrigant du bug CoSnitch était la façon dont il a été découvert : Copilot a essentiellement révélé le trou lui-même.
Copilot a révélé sa propre faille
« Nous avons demandé à Copilot d’expliquer pourquoi l’exécution automatique était impossible, et chaque refus était accompagné d’une justification technique, qui cartographiait l’architecture », a indiqué le message de Varonis. Varonis a ensuite « recadré chaque refus en une question de suivi, et chaque réponse a encore réduit la surface d’attaque. Copilot a ensuite divulgué un paramètre d’URL non documenté, non sollicité, à mi-refus, y compris son comportement historique et toutes les protections mises en place pour le désactiver. Nous avons construit l’URL exactement comme décrit. Sans clic ni confirmation de la part de l’utilisateur, l’invite a été exécutée automatiquement avec succès. Copilot n’a pas été violé ; il a été joué. «
Microsoft a confirmé à la fois la faille et le correctif, en envoyant par courrier électronique une déclaration indiquant : « Nos clients sont déjà protégés et n’ont besoin de prendre aucune mesure. Nous mettons continuellement à jour nos garde-corps pour renforcer nos protections contre des techniques similaires. » Il a également publié une divulgation MSRC qualifiant le trou de « critique ».
Mais les commentaires envoyés par courrier électronique de Microsoft comprenaient également une déclaration qui n’est pas tout à fait exacte : « les clients d’entreprise utilisant Microsoft 365 Copilot ne sont pas concernés ».
Mais les analystes et d’autres ont souligné que la nature complexe des environnements d’entreprise hébergeait souvent également des Copilots grand public provenant des comptes personnels des membres du personnel, ce qui signifie que la faille dans la version personnelle aurait pu avoir un impact absolu sur la version entreprise.
Cela est encore compliqué par le fait que Microsoft a également déclaré qu’il « est en train d’évoluer vers une expérience Copilot plus unifiée », appelée Copilot Fusion ; les détails de la fusion de produits prévue ont commencé à fuir le mois dernier. Cela signifie que les RSSI d’entreprise doivent se préoccuper des failles de la version personnelle de Copilot qui pourraient être répercutées dans l’offre fusionnée.
Le calendrier du correctif de Microsoft était également fragmenté. Varonis a signalé la faille CoSnitch le 31 décembre, et la société a corrigé un élément de la faille, sa capacité d’exécution automatique, le 1er février, a noté Lior Adar, chercheur principal en sécurité chez Varonis, dans une interview, mais elle n’a complété le correctif que mardi.
Ce patch de février « a considérablement réduit les autres vulnérabilités », a déclaré Adar. Et, a ajouté son collègue Chen Levy Ben Aroy, chef de l’équipe de recherche sur la sécurité du cloud de Varonis, « les LLM constituent un tout nouveau monde de vulnérabilités ».
Mark Tauschek, vice-président et analyste distingué d’Info-Tech Research Group, a déclaré qu’il trouvait puissante la méthodologie Varonis consistant à inciter Copilot à révéler ses propres défauts.
Varonis a utilisé « une combinaison très sophistiquée d’ingénierie sociale sur un LLM, une variété de jailbreaks et une attaque par injection rapide dont les capacités sont très préoccupantes », a-t-il déclaré. « La combinaison de vecteurs de piratage est ce qui rend le tout plus surprenant, car nous avons déjà vu toutes ces méthodes seules auparavant, mais je pense que les trois travaillant pour un seul exploit sont nouveaux, du moins du point de vue de la divulgation. »
Pour les RSSI, Tauschek a déclaré qu’une action urgente pourrait être nécessaire.
« Tout comme à l’époque des macrovirus à la fin des années 90 et au début des années 2000, la seule façon de l’arrêter définitivement est de le désactiver. Désactivez les macros à l’époque. Désactivez Copilot maintenant », a déclaré Tauschek. « Il existe de nombreuses mesures d’atténuation qui peuvent réduire le risque à négligeable, mais ce n’est pas nul. Le fait est que ce n’est que le début. »
La piste de l’argent rendra cette solution difficile
Aman Mahapatra, directeur de la stratégie chez Tribeca Softtech, une société de conseil en technologie basée à New York, a déclaré que cette affaire posait un problème beaucoup plus difficile. Il a fait valoir que les incitations financières accordées aux grandes sociétés d’IA rendraient presque impossible la réparation significative de ce type de failles.
Il a souligné que tout garde-fou qui fermerait complètement cette classe d’attaque dégrade le produit, car les mêmes capacités exploitées sont celles que Microsoft commercialise comme la valeur de Copilot. « Le correctif et la fonctionnalité sont en tension directe, ce qui signifie qu’ils ne seront pas proprement corrigés mais perpétuellement atténués, et la fenêtre de huit mois est à quoi elle ressemble lorsqu’un fournisseur négocie entre ses obligations de sécurité et sa feuille de route produit pour chaque correctif », a déclaré Mahapatra.
« C’est le modèle que les RSSI doivent internaliser : dans les systèmes agentiques, l’action malveillante et l’action légitime sont la même action avec des intentions différentes, ce qui effondre tout le modèle de détection de signatures et d’anomalies sur lequel la sécurité d’entreprise a été construite pendant vingt ans », a déclaré Mahapatra. « CoSnitch est sérieux, mais sa propriété déterminante est que rien n’a été cassé. Trois défauts enchaînés : un paramètre d’URL d’exécution automatique déclenchant une invite sans clic, un connecteur OAuth lisant de manière abusive le corps Gmail complet plutôt que les métadonnées et un empoisonnement persistant de la mémoire via le résumé Web, et chacun est Copilot faisant exactement ce pour quoi il a été conçu. «
Mahapatra a ajouté que le troisième élément de la faille CoSnitch est le plus troublant.
« Le composant empoisonnant la mémoire est celui qui est sous-vendu, et c’est le plus dangereux. Une seule page Web résumée écrit les instructions de l’attaquant dans la mémoire persistante de Copilot, et cette mémoire survit aux changements de mot de passe, à la révocation de session et à la réinscription de l’appareil », a-t-il déclaré. « Chaque étape standard de réponse à un incident laisse l’injection intacte. L’attaquant n’a besoin d’aucune infrastructure persistante après l’écriture initiale, car chaque session future s’exécute dans un contexte contrôlé par l’attaquant, enregistré uniquement dans une interface utilisateur de paramètres de mémoire que presque aucun utilisateur n’a ouverte. »
Flavio Villanustre, RSSI du groupe LexisNexis Risk Solutions, a également souligné un problème plus vaste qui affecte tous les déploiements agentiques et genAI.
« Les mécanismes derrière la partie injection rapide de l’attaque sont basés sur l’incapacité du LLM à faire la différence entre les données, le flux de données dangereux provenant d’une page Web externe et les instructions qui se trouvent être intégrées dans ce flux de données par l’attaquant contrôlant cette page Web externe », a déclaré Villanustre. « C’est un autre exemple de la raison pour laquelle une approche architecturale différente des LLM, qui sépare les données et les instructions, est nécessaire pour mieux garantir la sécurité de leur fonctionnement. Ce n’est pas un problème que Microsoft ou tout autre fournisseur d’IA a abordé jusqu’à présent. »
