Faille critique dans Copilot : des pirates pouvaient voler les codes 2FA des utilisateurs
Microsoft a corrigé mardi dernier une faille de sécurité classée critique au niveau maximal dans sa plateforme d'IA M365 Copilot. Le lundi suivant, les chercheurs ayant découvert et signalé la vulnérabilité ont dévoilé le détail de leur exploit : leur preuve de concept permettait de récupérer des codes d'authentification à deux facteurs (2FA) ainsi que d'autres données sensibles contenues dans les e-mails accessibles à Copilot. Concrètement, un attaquant pouvait injecter des instructions malveillantes dans un contenu externe, par exemple un e-mail ou un document, que Copilot était amené à traiter, et l'IA exécutait ces instructions à l'insu de l'utilisateur.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Ars Technica AI. Lire l'article original →
Le problème révélé ici dépasse le simple bug logiciel : il touche à une limite fondamentale des grands modèles de langage. Ces systèmes sont structurellement incapables de distinguer les instructions légitimes d'un utilisateur des instructions malveillantes glissées dans un contenu tiers qu'ils analysent ou résument. Cette catégorie d'attaque, connue sous le nom de prompt injection indirect, expose potentiellement des millions d'utilisateurs professionnels qui confient à Copilot l'accès à leurs boîtes mail, leurs documents et leurs données d'entreprise. Un acteur malveillant peut ainsi exfiltrer discrètement des informations confidentielles sans que l'utilisateur ne remarque quoi que ce soit.
Pour contourner les garde-fous mis en place par Microsoft, les chercheurs ont utilisé des langages de balisage permettant d'ajouter des liens et du formatage sans recourir à HTML brut, ou ont encapsulé des données sensibles dans des balises HTML comme <img> ou <form>. Dans les deux cas, une requête web contenant les données volées est envoyée automatiquement vers un serveur contrôlé par l'attaquant, qui les récupère dans ses journaux de connexion. Microsoft comme ses concurrents se retrouvent ainsi à construire des protections complexes et improvisées pour contenir les effets d'une faille architecturale qu'ils ne peuvent pas corriger à la racine.
Les entreprises françaises et européennes utilisant M365 Copilot étaient exposées à l'exfiltration de données professionnelles sensibles, avec des implications potentielles au regard du RGPD.
La prompt injection, c'est pas nouveau, mais là ça touche des boîtes mail pro avec les codes 2FA et c'est une autre échelle. Microsoft a patché ce cas précis, mais le vrai problème, qu'un LLM ne peut pas distinguer tes instructions d'une instruction planquée dans un doc piégé, ça personne ne peut le corriger vraiment. Reste à voir combien de variantes traînent encore.