Что произошло
В январе 2025 года команда Aim Labs обнаружила цепочку уязвимостей в Microsoft 365 Copilot и сообщила о ней Microsoft. Исследователи назвали её EchoLeak и описали новый класс проблем как нарушение области действия LLM (LLM Scope Violation). Microsoft устранила проблему на стороне сервиса в мае 2025 года, клиентам не требовалось ничего устанавливать. 11 июня 2025 года Microsoft опубликовала бюллетень CVE-2025-32711 в рамках июньского Patch Tuesday, в тот же день вышло публичное описание. По заявлению Microsoft, признаков эксплуатации в реальных атаках не обнаружено и клиенты не пострадали.
Где нарушилась защита
Copilot использует поиск по данным пользователя (RAG) и подтягивает в контекст письма, файлы и сообщения, которые кажутся релевантными запросу. Внешнее письмо от злоумышленника попадало в этот контекст наравне с доверенными внутренними данными, и модель воспринимала его текст как инструкции. Ответ модели мог содержать ссылку на изображение, при автоматической загрузке которого данные уходили на внешний адрес, причём для обхода политики безопасности контента использовались доверенные домены Microsoft. Граница доверия нарушалась в двух местах: недоверенный внешний контент смешивался с привилегированным контекстом, а вывод модели без проверки получал возможность обращаться к внешним ресурсам.
Последствия
- Под угрозой было всё, к чему у Copilot есть доступ от имени пользователя: почта, файлы OneDrive и SharePoint, сообщения Teams, история чатов
- Уязвимость получила оценку CVSS 9.3 (критическая) от Microsoft
- По данным Microsoft, эксплуатации в реальных атаках не выявлено
Реакция
Microsoft исправила уязвимость на стороне сервиса в мае 2025 года и опубликовала CVE-2025-32711 11 июня 2025 года; действий от клиентов не потребовалось.
Уроки для бизнеса
- Любой внешний контент, который попадает в контекст корпоративного ассистента, нужно считать потенциальной командой, а не просто данными
- Атака без участия пользователя возможна: достаточно, чтобы ассистент сам нашёл вредоносный документ при обычном запросе
- Широкие права ассистента на корпоративные данные превращают одну уязвимость в канал массовой утечки
- Исправление на стороне облачного вендора не отменяет необходимости собственных мер контроля
Меры, которые предотвратили бы инцидент
- Исключить или пометить внешние письма и документы в источниках, по которым ассистент ищет контекст
- Блокировать или проверять внешние ссылки и изображения в ответах ассистента
- Ограничить доступ ассистента к данным по принципу минимальных привилегий и меткам конфиденциальности
- Мониторить исходящие обращения, инициированные AI-сервисами, и аномалии в журналах Copilot