Copilot сам подсказал, как его обойти: одна ссылка выносила почту и календарь

Из этого параметра собралась ссылка. Адрес вида `copilot.microsoft.com/?q=<промпт>&autorun=1` запускал подставленный промпт сразу при загрузке страницы. Обычный `?q=` требовал подтверждения пользователя, `autorun=1` его снимал. Свой способ находки Varonis называет meta-hacking: параметр никто не реверсил, его назвала сама модель.

Права ассистента и есть оружие. Атака не ломает пароль и не обходит файрвол, она пользуется доступом, который пользователь сам выдал ассистенту. «Они заставляют ИИ обратить его собственный авторизованный доступ в оружие», говорит старший исследователь Varonis Threat Labs Лиор Адар.

Что вытащили на демонстрации. Тела писем вместе с паролем в открытом виде, события Google Calendar с названиями, участниками и местом, метаданные файлов Google Drive, историю чатов и содержимое памяти Copilot. Данные кодировались в Base64 и уходили обычным GET-запросом на сервер исследователей, в логах это неотличимо от нормального трафика.

Третьим звеном шло отравление памяти. Скрытые инструкции в HTML страницы попадали в постоянную память Copilot, когда он её пересказывал: модель не различала контент для пересказа и команды к исполнению. Такая запись переживает смену пароля, отзыв сессии и переустановку устройства.

Ставить пользователю нечего, исправления вышли на стороне облачного сервиса. Память чистится отдельно: Copilot Chat → «Settings and more» (⋯ вверху справа) → Chat settings → Personalization → плитка Saved memories → Manage saved memories, дальше удалять по одной иконкой корзины или кнопкой Delete all memories. Само отключение памяти сохранённые записи не стирает. Varonis советует заодно пройтись по списку подключённых приложений (Gmail, Google Drive, Calendar) и отключить лишние. Речь про Copilot Personal, потребительский ассистент на copilot.microsoft.com. Корпоративный Microsoft 365 Copilot тех же симптомов не показал.