Badacze z firmy Varonis odkryli krytyczną lukę w Microsoft 365 Copilot Enterprise, która pozwalała atakującemu wykraść z konta ofiary kody uwierzytelniania dwuskładnikowego, treść wiadomości e-mail, szczegóły spotkań i poufne pliki firmowe. Wystarczyło jedno kliknięcie w link. Luka, nazwana SearchLeak i śledzona pod numerem CVE-2026-42824, otrzymała od Microsoftu najwyższy możliwy poziom powagi. Firma załatała ją na początku czerwca 2026 roku po stronie chmury, bez konieczności działania ze strony administratorów IT.
Kluczowe fakty:
- Luka CVE-2026-42824, nazwana SearchLeak, została odkryta przez badaczy z firmy Varonis w Microsoft 365 Copilot Enterprise i pozwalała na kradzież kodów 2FA, wiadomości e-mail, szczegółów spotkań oraz poufnych plików firmowych za pomocą jednego kliknięcia w link. Microsoft załatał ją w czerwcu 2026 roku po stronie chmury, przyznając jej najwyższy możliwy poziom powagi.
- SearchLeak to łańcuch trzech osobnych słabości: wstrzyknięcia instrukcji przez parametr URL do silnika AI, wyścigu renderowania HTML pozwalającego na wykonanie znacznika img przed mechanizmem czyszczącym, oraz ominięcia polityki CSP poprzez wykorzystanie punktu końcowego Bing techniką SSRF do wysłania danych na serwer atakującego.
- Atak nie wymagał żadnych wtyczek ani specjalnych uprawnień, a złośliwy link prowadził do zaufanej domeny microsoft.com, przez co tradycyjne narzędzia antyphishingowe i filtry ochrony URL nie wykrywały zagrożenia.
SearchLeak to nie jedna wada, lecz łańcuch trzech osobnych słabości, które razem tworzą coś znacznie groźniejszego. Twórcą ataku jest Dolev Taler z Varonis Threat Labs, ten sam zespół, który wcześniej opisał podobną metodę w zwykłej wersji Copilot (opisaną jako „Reprompt”). Tym razem cel był inaczej skonfigurowany i lepiej strzeżony, a mimo to eksploatacja okazała się możliwa.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Jak działał atak krok po kroku
SearchLeak opierał się na trzech odrębnych słabościach w Microsoft 365 Copilot Enterprise, z których każda toruje drogę następnej. Pierwsza to tzw. Parameter-to-Prompt Injection (P2P): parametr „q” w adresie URL wyszukiwarki Copilot Enterprise Search był przekazywany bezpośrednio do silnika AI jako wykonywalna instrukcja. Druga to wyścig renderowania HTML: znacznik img w odpowiedzi AI uruchamiał się zanim zdążył zadziałać mechanizm czyszczący output. Trzecia to ominięcie polityki CSP przez Bing za pomocą techniki SSRF: punkt końcowy wyszukiwania obrazów Bing, umieszczony na liście dozwolonych w polityce bezpieczeństwa treści, wykonywał żądanie po stronie serwera do adresu kontrolowanego przez atakującego.
Efekt końcowy: ofiara klika link, Copilot przeszukuje jej skrzynkę pocztową, kalendarz i zasoby organizacji, a dane trafiają na serwer atakującego. Bez wtyczek. Bez specjalnych uprawnień. Bez drugiego kliknięcia.
Link prowadził do zaufanej domeny microsoft.com, przez co tradycyjne narzędzia antyphishingowe i filtry ochrony adresów URL nie flagowały go jako podejrzanego.
Mechanizm jest elegancki w swojej prostocie. Atakujący konstruuje adres URL z ukrytymi poleceniami dla Copilota. Kiedy ofiara go otwiera, AI samodzielnie przeszukuje jej skrzynkę, wyciąga tytuł e-maila (np. z kodem jednorazowym) i osadza go w adresie URL prowadzącym do Binga. Bing, próbując załadować „obraz”, wysyła żądanie do serwera atakującego z danymi wbudowanymi w ścieżkę. Wszystko dzieje się, zanim jakikolwiek filtr zdąży zareagować.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Co mogło wyciec
Zasięg ataku w środowiskach korporacyjnych jest poważny. Skrzynka pocztowa ofiary, calendarz ze szczegółami spotkań, notatki, pliki SharePoint, zasoby OneDrive, a w zależności od połączeń M365 w danym środowisku potencjalnie znacznie więcej.
Najbardziej niepokojący jest konkretny scenariusz z kodami 2FA. Atakujący mógł skonfigurować zautomatyzowany skrypt monitorujący logi serwera i automatycznie pobierający aktywne kody uwierzytelniania zaraz po ich dotarciu do skrzynki. Okno czasowe jest wąskie, ale wystarczające do przejęcia konta.
Lista potencjalnych skutków jest konkretna:
- wykradzenie aktywnych kodów jednorazowych 2FA i linków do resetowania haseł
- dostęp do treści i tytułów wiadomości e-mail zawierających informacje poufne
- ujawnienie danych z kalendarza: uczestnicy spotkań, tematy, notatki
- dostęp do dokumentów firmowych indeksowanych przez Copilot (raporty, dane kadrowe, plany przejęć)
- metadane korespondencji
To mnie niepokoi bardziej niż sama techniczna konstrukcja ataku. SearchLeak pokazuje, że AI zintegrowane z systemami korporacyjnymi staje się nowym wektorem ataku, którego firmy jeszcze nie nauczyły się skutecznie zabezpieczać. Z jednej strony korzyści z Copilota są realne, widać to w produktywności. Z drugiej, każda funkcja, która ma dostęp do pełnych danych użytkownika, jest potencjalną furtką. I tu mam pytanie, które zadaję sobie od jakiegoś czasu: czy firmy w ogóle wiedzą, do jakich zasobów ma dostęp ich Copilot? Podejrzewam, że w wielu przypadkach odpowiedź brzmi: nie do końca.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Stary błąd w nowym opakowaniu
Technika SSRF przez Bing to klasa podatności znana od ponad dekady. Podobnie wyścig renderowania HTML i podatności na timing w mechanizmach czyszczących to dobrze udokumentowane techniki. Nowością jest P2P Injection, czyli zamiana parametru URL w instrukcję dla AI, która cicho eksfiltruje dane. To jest element natywny dla AI. I właśnie on sprawia, że klasyczne błędy stają się możliwe do wykorzystania w zupełnie nowym kontekście.
Varonis podkreśla w swoim raporcie, że bez P2P Injection nie ma mowy o wstrzyknięciu kontrolowanego przez atakującego kodu HTML do odpowiedzi. Bez wyścigu renderowania, kod zostałby zneutralizowany przez mechanizm ochronny. Bez SSRF przez Bing, polityka CSP blokowałaby eksfiltrację. Każde z trzech ogniw jest niezbędne. AI jest tym, co je łączy.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Microsoft załatał, ale pytania zostają
Microsoft naprawił lukę na początku czerwca 2026 roku. Żadne działanie ze strony użytkowników ani administratorów IT nie było wymagane, łatka została zastosowana automatycznie po stronie serwera.
Zwykłych użytkowników Copilot (wersja bezpłatna lub standardowa) problem nie dotyczył. Luka była ograniczona do warstwy Enterprise.
Dla zespołów bezpieczeństwa Varonis zaleca kilka konkretnych kroków nawet po wdrożeniu poprawki:
- monitorowanie adresów URL wyszukiwania Copilot pod kątem zakodowanych ładunków w parametrze „q” zawierających znaczniki HTML lub instrukcje osadzania danych w linkach do obrazów
- weryfikację listy dozwolonych domen w polityce CSP, zwłaszcza tych, które wykonują żądania po stronie serwera na podstawie adresów URL podawanych przez użytkownika
- traktowanie strumieniowanego outputu AI jako niezaufanego i stosowanie mechanizmów czyszczących w czasie renderowania, a nie jako krok post-processingowy
SearchLeak nie jest pierwszym tego rodzaju atakiem na asystentów AI. Kilka tygodni wcześniej ujawniono podobny mechanizm w Copilot Personal (Reprompt). W tym samym okresie odnotowano incydent, w którym złośliwe działania doprowadziły do przejęcia dostępu do dużych kont na Instagramie z wykorzystaniem AI Meta. Wzorzec jest wyraźny.
