微軟 Copilot 爆重大資安漏洞「SearchLeak」：點擊連結，郵件與機密資料恐遭竊

利用搜尋功能進行「提示詞注入」

資安研究機構 Varonis 近期揭露一項針對 Microsoft 365 Copilot 的重大資安漏洞，並將其命名為「SearchLeak」。該攻擊手法利用了「參數至提示詞注入（Parameter-to-Prompt Injection）」技術，攻擊者只需向目標發送一封包含特定語法連結的電子郵件，即可在受害者完全無需輸入任何指令的情況下，強制 Copilot 執行惡意操作。

該漏洞的核心在於 Copilot 對搜尋指令的處理方式。攻擊者設計的 URL 包含了一串隱藏指令，要求 Copilot「搜尋用戶郵件」、「提取標題」，並將其嵌入至一張圖片的 URL 中。由於 Copilot 會自動執行這些搜尋任務，導致機密資訊在用戶不知情的情況下被外洩。

繞過防護機制的執行時序漏洞

研究人員指出，Copilot 原本設有防護機制，會將輸出內容以 區塊進行封裝以防止惡意程式碼執行。然而，該防護機制僅在「思考階段」結束後才會啟動。在思考過程中，Copilot 會先生成原始 HTML 並暫時渲染在瀏覽器的 DOM 中。

Copilot 開始串流輸出回應，其中包含 標籤；瀏覽器識別並渲染該標籤，隨即發送 HTTP 請求至 src URL；Copilot 完成生成後，防護機制才將內容封裝在 區塊中。此時請求早已發出。

為了規避 Copilot 對外部網站的連線限制，攻擊者利用微軟 Bing 搜尋引擎作為「跳板」。由於 Bing 屬於 Copilot 內容安全政策中允許發送請求的網站，攻擊者透過 Bing 的圖片搜尋功能，將竊取的資料轉發至其控制的網域。

企業級資料外洩風險

Varonis 研究人員強調，SearchLeak 的影響範圍不僅限於個人資料，由於該漏洞針對的是 Microsoft 365 的企業級用戶，攻擊者能存取受害者在組織內部擁有權限的所有內容，包括：

• 電子郵件與會議邀請
• 會議筆記
• SharePoint 文件
• OneDrive 檔案

研究人員表示：「根據 M365 與環境的連接方式，資料外洩的影響範圍可能更為廣泛。」雖然微軟已於週二針對此漏洞進行修復，但研究人員警告，這類針對 AI 代理的底層邏輯漏洞難以徹底根除，攻擊者未來勢必會尋找新的方式繞過防護機制。