SearchLeak: איך לינק תמים אחד לקופיילוט M365 יכול היה לגנוב את כל המידע הארגוני שלך

שלב 2 – מרוץ תנאי בהזרקת HTML

קופיילוט הציג את תוצאות החיפוש בדפדפן, והפלט שלהן לא עבר חיטוי יסודי. ההנחיה המוזרקת של התוקף גרמה לקופיילוט לייצר תגובה שהכילה תגית HTML <img>, שכתובת ה-src שלה הפנתה לשרת שבשליטת התוקף. מרוץ תנאי (race condition) בתהליך העיבוד גרם לכך שהדפדפן שלף וטען את התמונה – וכך שלח את המידע הגנוב המקודד בבקשה – עוד לפני שמסנני האבטחה של קופיילוט הספיקו לבחון ולחסום את הפלט. בפועל, המידע דלף ברגע שבין יצירת התשובה של ה-AI לבין בדיקת מנגנון ההגנה .

שלב 3 – SSRF דרך נקודת הקצה של חיפוש התמונות בבינג

הקפיצה האחרונה להעברת המידע התבססה על SSRF (זיוף בקשות בצד השרת) נגד נקודת הקצה של חיפוש התמונות של בינג, השייכת למיקרוסופט. מקור התגית img נוצר כך שהדפדפן שלח בקשה אל bing.com, דומיין פנימי מהימן של מיקרוסופט. מכיוון שנראה היה שהבקשה מקורה בתשתית של בינג, היא עברה ללא זיהוי דרך בקרות תעבורה יוצאת (egress controls) של הרשת הארגונית ומערכות למניעת דלף מידע (DLP). המידע הרגיש קודד בפרמטרים של כתובת ה-URL בבקשת התמונה התמימה לכאורה, ונותב ישירות לשרת של התוקף .

איזה מידע היה בסיכון

ברגע שהופעל, קופיילוט עבד עם ההרשאות של הקורבן המאומת. החוקרים הדגימו שהם יכולים לגנוב :

• קודי MFA וסיסמאות שהוטמנו בתוך גוף המיילים
• נושאי אימייל מלאים ותוכן הודעות
• פרטי אירועים ביומן
• סיכומי קובצי SharePoint ו-OneDrive ותוכן שנוסף לאינדקס

כל מידע שחיפוש קופיילוט ארגוני יכל לשלוף דרך הרשאות ה-Microsoft Graph של המשתמש – שהן נרחבות ברוב הארגונים – היה חשוף פוטנציאלית לגניבה.

היקף וחומרה

מסד הנתונים הלאומי לפרצות (NVD) תיאר את הסיבה העיקרית כ"ניטרול לא תקין של רכיבים מיוחדים בפקודה ('הזרקת פקודה') בקופיילוט M365" . ציוני החומרה היו מעורבים:

• NVD CVSS 3.1: 6.5 (בינוני), עם וקטור של AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
• Tenable CVSS v2: 7.8 (גבוה)
• הדירוג של מיקרוסופט עצמה: חומרה קריטית (Critical) פנימית

הסיכון המעשי היה גבוה מכיוון שכל משתמש ב-M365 Copilot Enterprise היה מטרה פוטנציאלית, המתקפה דרשה רק לחיצה אחת על מה שנראה ככתובת URL מהימנה לחלוטין, וכלי אבטחת הרשת והמייל המסורתיים לא זיהו אותה. מיקרוסופט אישרה שהפרצה טופלה בצד השרת, ומסרה שלא נמצאו עדויות לניצול בפועל נכון למועד החשיפה .

דפוס חוזר ומדאיג: SearchLeak, Reprompt, EchoLeak

SearchLeak היא ניצול הזרקת ההנחיות השלישי שמתגלה במיקרוסופט קופיילוט תוך כשנה. הרצף מגלה חולשה ארכיטקטונית יסודית, לא סתם באגים מבודדים.

Reprompt (CVE-2026-24307) – ינואר 2026

אותו צוות מ-Varonis Threat Labs חשף את Reprompt, מתקפה על Copilot Personal (הגרסה לצרכן). גם היא השתמשה בפרמטר q ב-URL להזרקת הוראות, אך הוסיפה טכניקת "בקשה כפולה": הגנות המניעה של קופיילוט חלו רק על האינטראקציה הראשונה, ולכן ניסיון חוזר יכל לחלץ נתוני פרופיל, סיכומי קובצים וזיכרון שיחות. מיקרוסופט תיקנה את Reprompt בעדכון האבטחה של ינואר 2026 .

EchoLeak (CVE-2025-32711) – יוני 2025

הפרצה שהתגלתה על ידי Aim Security, EchoLeak, הייתה ניצול באפס קליקים (zero-click) בתוך קופיילוט M365. אימייל בודד שהכיל תגיות תמונה (markdown) נסתרות יכל להעביר מידע החוצה כאשר קופיילוט עיבד את ההודעה – ללא צורך בלחיצת המשתמש כלל. המתקפה הדגימה שאפילו עיבוד פסיבי של AI על תוכן מהימן יכול להפוך לנשק .

SearchLeak (CVE-2026-42824) – יוני 2026

הגרסה הארגונית, ששילבה הזרקת P2P עם באגים בשכבת הווב, ויצרה שרשרת בלחיצה אחת שניצלה את התשתית של בינג עצמו כצינור לדלף המידע, תוך עקיפה מוחלטת של מערכות DLP .

המכנה המשותף: שלוש המתקפות מנצלות את אותה ארכיטקטורה בסיסית. עוזרים מבוססי LLM כמו קופיילוט בוטחים בתוכן שמקורו במשתמש – פרמטרים של כתובות URL, גוף הודעות אימייל, שאילתות חיפוש – ומתייחסים אליו כאל הוראות לגיטימיות. כשהם מייצרים פלט, הפלט הזה לעיתים קרובות מפעיל אוטומטית התנהגויות בצד הלקוח בדפדפנים או בתוכנות אימייל (טעינת תמונות, עיבוד קישורים, בקשות אוטומטיות), וכך נוצר ערוץ צדדי אמין לדלף מידע החוצה מהארגון. מיקרוסופט תיקנה כל פרצה בנפרד, אך הדפוס החוזר מרמז שהזרקת הנחיות בתוספת ערוצי צדדיים בפלט ימשיכו לצוץ עד שהארכיטקטורה עצמה תתמודד עם הגבול בין הוראה אמינה למידע לא מהימן .