Une Vulnérabilité dans Microsoft Copilot Permettait le Vol de Codes d'Authentification à Deux Facteurs

Les chercheurs en sécurité ont révélé une vulnérabilité critique dans Microsoft Copilot appelée SearchLeak : les attaquants pouvaient voler silencieusement les codes d'authentification à deux facteurs d'une seule utilisation directement à partir de l'email de la victime—sans aucun signe visible de compromission et sans participation de l'utilisateur.

Comment l'exploit fonctionnait

Au cœur de l'attaque se trouve l'injection de prompt, l'une des classes de menaces les plus étudiées mais non résolues pour les systèmes LLM. La mécanique est simple et donc particulièrement dangereuse : un attaquant envoie à la victime ce qui ressemble à un email ordinaire, à l'intérieur duquel se cachent des instructions malveillantes—déguisées en contenu texte ou HTML. Lorsque Microsoft Copilot traite cet email dans le cadre de ses tâches routinières—résumant les messages entrants, répondant aux demandes des utilisateurs ou simplement mettant à jour les indices de courrier—les instructions intégrées prennent le contrôle de l'assistant.

Tout ce qui suit fonctionne contre la victime : Copilot, ayant un accès complet à l'écosystème Microsoft 365—email, OneDrive, Teams, calendrier—sur ordre de l'email malveillant a effectué des recherches ciblées pour des requêtes comme "code de confirmation", "code de vérification" ou "OTP". Les messages trouvés—généralement des emails de banques, de systèmes d'entreprise ou de services en ligne avec des mots de passe à usage unique actifs—ont été transférés à l'attaquant via un canal d'exfiltration pré-préparé. C'est ce mécanisme qui a donné son nom à l'attaque, SearchLeak : fuite par recherche.

Tout se passe invisiblement—Copilot se comporte normalement, aucun avertissement.

Pourquoi cela se répète

SearchLeak n'est pas le premier incident de ce type avec des produits LLM intégrés dans des environnements de travail. Le problème n'est pas une erreur spécifique du développeur Microsoft—c'est architectural : le LLM reçoit un accès sans restriction aux données utilisateur sans isolement strict et sans distinction entre le contenu "propre" et "externe". Points vulnérables clés exploités par cette classe d'attaques :

• LLM traite les contenus non fiables—emails, documents de tiers—avec les mêmes privilèges que les instructions du propriétaire du compte
• La recherche et la sumarisation donnent au modèle un accès large aux données personnelles et d'entreprise
• Les mécanismes d'exfiltration—formation d'URL externes, demandes HTTP masquées—ne sont souvent pas filtrés par le système
• Pas de distinction rigoureuse entre "instruction de confiance utilisateur" et "contenu reçu de source externe"

Des vulnérabilités similaires ont déjà été corrigées dans ChatGPT Plugins, Google Gemini pour Workspace et autres assistants IA avec accès étendu aux données. Le motif est un et le même : plus large l'intégration—plus grande la surface d'attaque.

Position de Microsoft

Selon Ars Technica, les chercheurs ont divulgué la vulnérabilité à Microsoft par divulgation coordonnée—avant la publication de l'article. L'entreprise a publié un correctif, cependant les détails techniques des mesures de protection restent non divulgués.

"SearchLeak montre clairement : vous ne pouvez pas donner aux LLM

accès à des données sensibles sans restrictions sandbox strictes", soulignent les auteurs de la recherche.

Microsoft positionne Copilot précisément par son intégration profonde avec l'email, Teams, les fichiers et le calendrier—c'est la proposition de valeur centrale du produit. Et cela crée un risque structurel : refuser l'intégration signifierait perdre la valeur du produit, construire l'isolement est difficile mais nécessaire.

Ce que cela signifie

Alors que les assistants d'IA reçoivent un accès de plus en plus large aux données d'entreprise, les attaques par injection de prompt se répéteront—ce n'est pas un bug d'un produit particulier mais un problème structurel pour toute l'industrie. Les utilisateurs d'entreprise devraient reconsidérer le niveau d'accès de Copilot à l'email et aux données sensibles, et les développeurs de produits IA devraient sérieusement s'attaquer à la norme d'isolement des LLM du contenu externe non fiable.