В Microsoft Copilot действовала критическая уязвимость
ilenta.comEchoLeak стала первой зарегистрированной zero-click уязвимостью, затронувшей ИИ-помощника. Проблема касалась Microsoft 365 Copilot, встроенного в популярные приложения Office — такие как Word, Excel, Outlook, PowerPoint и Teams.Как сообщили специалисты из Aim Security, обнаружившие брешь, атака предоставляла доступ к конфиденциальной информации из всех источников и приложений, к которым Copilot имел подключение, при этом пользователь ничего не должен был делать.Зараженное письмо, запускающее эксплойт, не содержало ни вредоносных вложений, ни подозрительных ссылок.
Метод атаки основывался на технике под названием LLM Scope Violation, суть которой заключается в манипуляции внутренним механизмом работы больших языковых моделей, заставляя ИИ выполнять вредоносные инструкции.Уязвимость была обнаружена в январе, и Aim Security незамедлительно передала информацию в Microsoft Security Response Center.
