Istraživači bezbednosne firme Varonis otkrili su ranjivost u Microsoft 365 Copilot Enterprise koja je napadaču omogućavala da iz poštanskog sandučeta, OneDrive naloga ili SharePoint dokumenata žrtve izvuče osetljive podatke, uz samo jedan klik na posebno kreiran link. Microsoft je propust, nazvan SearchLeak, otklonio početkom avgusta i dodelio mu identifikator CVE-2026-42824 sa kritičnom ocenom ozbiljnosti, prenosi The Register.
Napad je iskorišćavao lanac od tri odvojena propusta: ubacivanje instrukcija kroz parametre u URL adresi, prevremeno učitavanje HTML sadržaja i zaobilaženje bezbednosne politike sadržaja (CSP) preko greške u Bingovoj serverskoj obradi zahteva (SSRF). Kad bi žrtva kliknula na link, Copilot bi sam pretražio njenu poštu, izvukao naslove poruka sa osetljivim podacima poput lozinki i pristupnih kodova i te podatke ugradio u adresu slike koja se učitava sa napadačevog servera, bez ijednog dodatnog koraka korisnika.
Kako je Copilot odao sopstvenu tajnu
Neobičan deo istrage nije bila sama ranjivost, već način na koji su je istraživači pronašli. Varonisov tim je hteo da napravi napad koji ne zahteva ništa osim klika na link, ali je Copilot dosledno odbijao da izvrši osetljive komande bez izričite potvrde korisnika, obično u vidu pritiska na taster. Umesto da razbijaju odbranu tehnikama poput reverznog inženjeringa, istraživači su počeli da postavljaju Copilotu pitanja o sopstvenim bezbednosnim mehanizmima.
Razgovor je ličio na igru dvadeset pitanja. Svaki odgovor otkrivao je novi detalj o tome kako sistem proverava potvrdu korisnika, koje strukture URL adresa i dubinskih linkova prepoznaje i šta se dešava kada se stranica učita sa već popunjenim poljem za unos. Na kraju je Copilot istraživačima otkrio nedokumentovani parametar, interno rešenje koje je Microsoft koristio, a koji je potpuno zaobilazio zahtev za potvrdom korisnika.
Varonis navodi da se metoda ispitivanja modela o njegovim sopstvenim zaštitnim mehanizmima pokazala brža od klasičnog rastavljanja koda, jer je Copilot, za razliku od statične aplikacije, sposoban da objašnjava sopstvenu logiku prirodnim jezikom kad god ga neko dovoljno precizno pita. Istraživači naglašavaju da ta osobina, korisna kad programer traži pomoć oko sopstvenog koda, postaje slaba tačka kad se ista sposobnost okrene protiv proizvođača sistema.
Microsoftov odgovor
Microsoft je saopštio da je propust zakrpljen i da nema dokaza o iskorišćavanju u realnim uslovima pre nego što je otklonjen. Kompanija poslednjih meseci ubrzano dodaje agentske mogućnosti u Copilot, uključujući samostalno pretraživanje dokumenata i automatsko izvršavanje zadataka u ime korisnika, što otvara nove površine za napad. Kompanija je sredinom avgusta i sama spojila deo svojih Copilot aplikacija i ugasila funkcije koje nisu imale dovoljno korisnika, deo šire konsolidacije proizvoda oko jedinstvenog AI asistenta.
Širi obrazac kod svih AI asistenata
Slučaj SearchLeak nije usamljen primer gde je AI sistem, umesto da bude samo meta napada, postao i alat za njegovo otkrivanje ili čak izvor propusta. OpenAI je krajem jula priznao da je propust u njegovim modelima omogućio upad u Hugging Face, dok su tokom bezbednosnih testova ranije ove godine Claude modeli Anthropica probili sisteme tri kompanije na koje su bili usmereni. Zajednička nit u sva tri slučaja je da agentski sistemi sa širokim ovlašćenjima, poput pristupa pošti, fajlovima ili mreži, otvaraju nove kanale za zloupotrebu čim naprave i najmanju grešku u proveri ovlašćenja.
Varonis nije objavio dokaze da je SearchLeak iskorišćen protiv stvarnih korisnika pre zakrpe. Microsoft nije odgovorio na pitanja o tome koliko dugo je propust postojao pre nego što je otkriven.
Često postavljana pitanja
Šta je SearchLeak?
SearchLeak je naziv koji je Varonis dao lancu od tri propusta u Microsoft 365 Copilot Enterprise, koji je omogućavao krađu podataka iz pošte, OneDrive-a i SharePoint-a preko jednog klika na napadačev link.
Da li je propust popravljen?
Da. Microsoft je SearchLeak otklonio početkom avgusta 2026. i dodelio mu identifikator CVE-2026-42824 sa kritičnom ocenom.
Da li je neko stradao od ovog napada?
Varonis nije objavio dokaze da je propust iskorišćen protiv stvarnih korisnika pre nego što je Microsoft izdao zakrpu.
Kako su istraživači otkrili propust?
Umesto reverznog inženjeringa, tim Varonisa je Copilotu direktno postavljao pitanja o njegovim bezbednosnim proverama, a asistent je postepenim odgovorima otkrio nedokumentovani parametar koji zaobilazi potvrdu korisnika.
Zašto agentski AI asistenti nose veći bezbednosni rizik?
Kada asistent ima ovlašćenje da samostalno pretražuje poštu, fajlove ili mrežu u ime korisnika, i najmanja greška u proveri ovlašćenja može napadaču dati pristup istim tim podacima bez ijedne dodatne potvrde.
