Microsoft 365 Copilot 漏洞允许一键窃取数据

网络安全研究人员在 Microsoft 365 Copilot Enterprise 中发现一个严重漏洞，可能将 AI 助手变为数据窃取工具。该漏洞链被命名为 SearchLeak，允许攻击者通过精心构造的 URL 访问受害者邮箱、OneDrive 和 SharePoint 中的敏感信息。

问题源于 Copilot 内部搜索查询处理机制不当。攻击者可创建一个链接，自动触发对公司内部数据的搜索，同时绕过标准安全机制。攻击仅需用户点击一次恶意链接，随后数据会被传输至攻击者控制的服务器。

微软在收到研究人员报告后迅速发布补丁修复漏洞。然而，专家强调此类事件凸显了 AI 系统集成到企业工作流程中所带来的风险。自然语言处理机制中的漏洞可能成为新的网络攻击入口。

建议使用 Microsoft 365 Copilot Enterprise 的企业进行安全审计，并确认系统中不存在可疑活动。应特别关注邮件和云存储的访问日志，并为 AI 助手配置额外的监控工具。