# 微软 Copilot AI 漏洞被披露：恶意链接绕过用户确认窃取隐私数据

IT之家 8 月 19 日消息，科技媒体 Ars Technica 昨日（8 月 18 日）发布博文，报道称微软 Copilot 存在安全漏洞，可以通过?autorun=1参数，配合?q=绕过用户确认，从而窃取用户信息。

IT之家援引博文介绍，安全公司 Varonis 研究人员指出和多数 AI 助手一样，Copilot  支持通过 URL 接收提示词。URL 的基础部分可让模型打开 Gmail 等应用，后续参数和文本则能要求助手总结收件箱内容或起草邮件。

研究人员发现 Copilot 存在?autorun=1 参数，配合?q= 绕过用户确认，构造出如下链接：

用户点击攻击者制作的链接后，浏览器会在用户已登录的会话中加载 Copilot，其中?autorun=1 会触发自动执行，?q= 中的提示词则无需用户手势即可运行。

研究人员构造的提示词要求 Copilot 搜索收件箱，找出最新收到的邮件，仅提取发件人的电子邮件地址，并将结果保存到名为 SUPPORT 的变量中。随后，Copilot 会生成以下 URL，并执行“总结 URL”的命令：

攻击者就能把恶意链接通过电子邮件、聊天消息、钓鱼页面或二维码发送给受害者。用户点击后，敏感信息会被附加到另一个 URL，Copilot 自动在设备上打开该地址。由于页面托管在攻击者控制的网站上，数据最终会发送给攻击者。

研究人员还设计了另一条提示词，让 Copilot 在收件箱中搜索密码和其他凭据。只要发现相关秘密，助手就会把它们发送到同一类攻击者控制的服务器。为隐藏数据窃取并降低传输错误，外传内容会先转换为 Base64（一种将二进制数据编码为文本的格式）。

Varonis 列出的攻击链包括 5 个步骤：

1. 受害者点击攻击者精心构造的网址（通过电子邮件、聊天、钓鱼页面、二维码等方式传播）

2. 浏览器在受害者的活动且已通过身份验证的会话中加载copilot.microsoft.com。

3. 参数?autorun=1 会触发自动执行，?q= 提示符会在没有任何用户操作的情况下弹出。

4. Copilot 处理注入的提示符，并拥有对受害者会话上下文、已连接的应用和内存的完全访问权限。

5. 即使在加载完成后立即关闭 Copilot 选项卡，提示符仍会执行完毕，包括任何网络获取、连接器调用或多轮链操作。