Une faille de Microsoft Copilot permettait de voler des codes d'authentification à deux facteurs

Des chercheurs en sécurité ont révélé une vulnérabilité critique dans Microsoft Copilot, baptisée SearchLeak : des attaquants pouvaient dérober discrètement les codes à usage unique de l'authentification à deux facteurs directement dans la messagerie de la victime, sans signe évident d'intrusion et sans aucune action de l'utilisateur lui-même.

Comment fonctionnait l'exploit

L'attaque repose sur l'injection de prompt (prompt injection), l'une des classes de menaces les plus étudiées, mais toujours non résolues, pour les systèmes à base de LLM. Le mécanisme est simple, donc particulièrement dangereux : l'attaquant envoie à sa victime un e-mail d'apparence ordinaire, dans lequel sont dissimulées des instructions malveillantes, camouflées en texte ou en contenu HTML. Lorsque Microsoft Copilot traite ce message dans le cadre de ses tâches habituelles (résumer la boîte de réception, répondre à une demande de l'utilisateur ou simplement mettre à jour l'index de la messagerie), les instructions intégrées prennent le contrôle de l'assistant.

À partir de là, tout joue contre la victime. Copilot, qui a un accès complet à l'écosystème Microsoft 365 (messagerie, OneDrive, Teams, calendrier), lançait sur ordre de l'e-mail malveillant des recherches ciblées avec des requêtes comme « код подтверждения », « verification code » ou « OTP ». Les messages trouvés, en général des e-mails de banques, de systèmes d'entreprise ou de services en ligne contenant des mots de passe à usage unique encore valides, étaient transmis à l'attaquant par un canal d'exfiltration préparé à l'avance. C'est de ce mécanisme que vient le nom SearchLeak : fuite par la recherche.

Tout se passe en silence. Copilot se comporte comme d'habitude et aucun avertissement n'apparaît.

Pourquoi cela se reproduit

SearchLeak n'est pas le premier cas de ce genre avec des produits LLM intégrés aux environnements de travail. Le problème ne tient pas à une erreur précise des développeurs de Microsoft : il est architectural. Le LLM obtient un accès illimité aux données de l'utilisateur, sans isolation stricte et sans distinction entre contenu « propre » et contenu « étranger ».

Les principaux points faibles exploités par cette classe d'attaques :

• Le LLM traite du contenu non fiable (e-mails, documents de tiers) avec les mêmes privilèges que les instructions du propriétaire du compte
• La recherche et le résumé donnent au modèle un large accès aux données personnelles et d'entreprise
• Les mécanismes d'exfiltration, comme la construction d'URL externes ou les requêtes HTTP cachées, ne sont souvent pas filtrés par le système
• Il n'existe pas de séparation stricte entre l'« instruction de confiance de l'utilisateur » et le « contenu provenant d'une source externe »

Des vulnérabilités similaires ont déjà été relevées dans ChatGPT Plugins, Google Gemini for Workspace et d'autres assistants d'IA disposant d'un accès étendu aux données. Le schéma est toujours le même : plus l'intégration est large, plus la surface d'attaque est grande.

La position de Microsoft

Selon Ars Technica, les chercheurs ont signalé la vulnérabilité à Microsoft via une procédure de divulgation coordonnée (coordinated disclosure), avant la publication. L'entreprise a publié un correctif, mais les détails techniques des mesures de protection restent confidentiels.

«

SearchLeak montre clairement qu'il ne faut pas donner aux LLM l'accès à des données sensibles sans restrictions strictes de type sandbox », soulignent les auteurs de l'étude.

Microsoft positionne Copilot précisément sur sa profonde intégration avec la messagerie, Teams, les fichiers et le calendrier : c'est la principale proposition de valeur du produit. Et c'est aussi ce qui crée le risque structurel : renoncer à l'intégration viderait le produit de son sens, et construire l'isolation est difficile, mais nécessaire.

Ce que cela signifie

Tant que les assistants d'IA obtiendront un accès toujours plus large aux données d'entreprise, les attaques par injection de prompt continueront de se reproduire. Il ne s'agit pas d'un bogue propre à un produit, mais d'un problème structurel de toute la filière. Les utilisateurs en entreprise devraient réexaminer le niveau d'accès de Copilot à la messagerie et aux données sensibles, et les développeurs de produits d'IA s'attaquer sérieusement à un standard d'isolation des LLM vis-à-vis du contenu externe non fiable.