SearchLeak: ช่องโหว่ที่เปลี่ยนการคลิกเพียงครั้งเดียวให้กลายเป็นการขโมยข้อมูลระดับองค์กร

เหตุใด SearchLeak จึงสำคัญ

SearchLeak ไม่ใช่จุดบกพร่องร้ายแรงเพียงจุดเดียว แต่มันคือลูกโซ่ของจุดอ่อนสามจุดที่แต่ละจุดถูกใช้ประโยชน์อย่างเป็นลำดับขั้นตอน หากแยกกัน แต่ละจุดอาจไม่ใช่เรื่องวิกฤต แต่เมื่อรวมกัน มันกลายเป็นช่องทางดูดข้อมูลแบบเงียบๆ ด้วยการคลิกครั้งเดียว ซึ่งสามารถเข้าถึงอะไรก็ตามที่ผู้ใช้ที่ลงชื่อเข้าใช้สามารถเข้าถึงได้ผ่าน Microsoft Graph เช่น อีเมล คำเชิญในปฏิทิน บันทึกการประชุม เอกสาร SharePoint และไฟล์ใน OneDrive

ที่สำคัญ มันตอกย้ำรูปแบบที่นักวิจัยด้านความปลอดภัยได้เตือนไว้ก่อนหน้านี้ ในเดือนมกราคม 2026 ห้องแล็บเดียวกันที่ Varonis ได้เปิดเผย Reprompt การโจมตีแบบคลิกครั้งเดียวที่เกือบจะเหมือนกันทุกประการ ซึ่งมุ่งเป้าไปที่ Copilot Personal สำหรับผู้ใช้ทั่วไป ยิ่งไปกว่านั้น ในเดือนมิถุนายน 2025 Aim Security ได้เปิดเผย EchoLeak ช่องโหว่แบบ ไม่ต้องคลิกเลย (zero-click) ที่ใช้การฉีดคำสั่ง (prompt injection) ที่ฝังอยู่ในเอกสารที่เป็นอันตราย การมาถึงของ SearchLeak แสดงให้เห็นว่ามาตรการรักษาความปลอดภัยระดับองค์กรไม่ได้กำจัดความเสี่ยงพื้นฐานนี้ไป แต่เพียงแค่ยกระดับให้ผู้โจมตีต้องสร้างสรรค์มากขึ้นเท่านั้น

แกะรอยลูกโซ่สามจุดบกพร่อง

แต่ละจุดเชื่อมต่อในลูกโซ่ SearchLeak มีบทเรียนในตัวของมันเอง แต่ผลลัพธ์รวมกันต่างหากที่ทำให้การโจมตีนี้ทรงพลังอย่างยิ่ง

ขั้นตอนที่ 1: การฉีดคำสั่งผ่านพารามิเตอร์สู่พรอมพ์ (Parameter-to-Prompt Injection)

Copilot Enterprise Search รับพารามิเตอร์ URL ชื่อ q ซึ่งเป็นคำค้นหาภาษาธรรมชาติของผู้ใช้ นักวิจัยของ Varonis พบว่าพารามิเตอร์นี้ไม่เพียงแต่รับคำค้นหาเท่านั้น แต่มันยังรับคำสั่ง (prompt instructions) อะไรก็ได้ตามอำเภอใจอีกด้วย

ผู้โจมตีสามารถสร้าง URL ที่เมื่อผู้ใช้ที่ยืนยันตัวตนแล้วโหลดขึ้นมา จะสั่งให้ Copilot ทำสิ่งที่แตกต่างจากที่ลิงก์แสดงไว้โดยสิ้นเชิง ตัวอย่างเช่น ลิงก์อาจบอกให้ AI ค้นหากล่องจดหมายของเหยื่อเพื่อหาโค้ด MFA แบบใช้ครั้งเดียว ฝังโค้ดนั้นลงใน URL ของรูปภาพ และผนวกมันเข้ากับคำตอบ เหยื่อเห็นแค่หน้าเว็บค้นหาที่มีแบรนด์ของไมโครซอฟท์ แต่ Copilot กลับทำตามคำสั่งที่ถูกฉีดเข้ามาอย่างเงียบๆ

เทคนิคนี้ซึ่ง Varonis เรียกว่า การฉีดคำสั่งผ่านพารามิเตอร์สู่พรอมพ์ (Parameter-to-Prompt หรือ P2P injection) เป็นกลไกเดียวกับหัวใจสำคัญของการโจมตี Reprompt ที่เกิดขึ้นกับ Copilot Personal ก่อนหน้านี้

ขั้นตอนที่ 2: Race Condition ที่เลี่ยงระบบการทำให้ปลอดภัย (Sanitization)

เมื่อ Copilot สร้างผลลัพธ์ที่มี markup อย่าง HTML (เช่น แท็ก <img>) ตัว sanitizer ทางฝั่งเซิร์ฟเวอร์ควรจะห่อหุ้มผลลัพธ์นั้นไว้ในบล็อกโค้ด เพื่อให้เบราว์เซอร์มองว่ามันเป็นข้อความธรรมดาที่ไม่เป็นอันตราย ปัญหาคืออะไร? การห่อหุ้มนี้จะเกิดขึ้น หลังจาก ที่เนื้อหาทั้งหมดถูกสร้างเสร็จแล้วเท่านั้น

อย่างไรก็ตาม เบราว์เซอร์เริ่มแสดงผลลัพธ์ขณะที่ข้อมูลยังคงสตรีมเข้ามา แท็ก <img> ที่ผู้โจมตีฉีดเข้ามาจึงส่งคำขอของมันทันทีที่ปรากฏในสตรีมข้อมูล ก่อนที่ตัว sanitizer จะได้ทำงานด้วยซ้ำ เมื่อถึงเวลาที่บล็อกโค้ดปรากฏขึ้น URL ของรูปภาพก็ถูกร้องขอไปแล้ว และข้อมูลที่ถูกเข้ารหัสในเส้นทาง (path) ของมันก็ออกจากเบราว์เซอร์ของเหยื่อไปเป็นที่เรียบร้อย

นี่คือ race condition แบบคลาสสิกที่กลายเป็นอันตรายถึงชีวิตเมื่ออยู่ในบริบทของเนื้อหาที่สร้างโดย AI กลไกการป้องกันแบบเก่าไม่ได้ถูกออกแบบใหม่สำหรับโลกที่ผลลัพธ์จาก AI เองนั้นถูกควบคุมโดยผู้โจมตี

ขั้นตอนที่ 3: การดูดข้อมูลผ่าน Bing Endpoint ที่อยู่ใน Allowlist ของ CSP

แม้ว่าสองขั้นตอนแรกจะสำเร็จ แต่ก็ยังมีอุปสรรคสุดท้าย นั่นคือ นโยบายความปลอดภัยเนื้อหา (Content Security Policy หรือ CSP) บนโดเมน m365.cloud.microsoft ซึ่งจะบล็อกรูปภาพจากเซิร์ฟเวอร์ภายนอกที่ไม่ได้รับอนุญาต อย่างไรก็ตาม *.bing.com อยู่ในรายชื่อที่อนุญาต (allowlist)

endpoint "Search by Image" ของ Bing อนุญาตให้ดึง URL มาประมวลผลทางฝั่งเซิร์ฟเวอร์ได้ ในการโจมตี SearchLeak ผู้โจมตีจะผนวกข้อมูลที่ขโมยมาเป็นส่วนหนึ่งของเส้นทางการค้นหารูปภาพ (เช่น

https://www.bing.com/images/search?q=/Your_Security_Code_847291/img.png

ผู้โจมตีเพียงแค่เฝ้าดูบันทึก (log) ของ endpoint รูปภาพของตนเอง ซึ่งเซิร์ฟเวอร์ของ Bing ถูกหลอกให้เข้าไปเรียกหา

ความเรียบง่ายที่หลอกลวงของการคลิกเพียงครั้งเดียว

ห่วงโซ่ทั้งหมดทำงานโดยอัตโนมัติ เหยื่อคลิกลิงก์ Copilot ค้นหาข้อมูลของพวกเขาเอง ผลลัพธ์สตรีมไปยังเบราว์เซอร์ แท็ก <img> ทำงาน เซิร์ฟเวอร์ของ Bing ดึง URL ของผู้โจมตี ข้อมูลถูกดูดออกไป ทั้งหมดนี้เกิดขึ้นก่อนที่เบราว์เซอร์ของผู้ใช้จะแสดงผลหน้าเว็บเสร็จด้วยซ้ำ

การโจมตีนี้ตรวจจับได้ยากเพราะว่า

• URL อยู่บนโดเมนของไมโครซอฟท์ที่เชื่อถือได้ ทำให้หลีกเลี่ยงเครื่องสแกน URL และการตรวจสอบชื่อเสียง
• ไม่มีการเรียกหน้าต่างยืนยันตัวตนหรือการคลิกครั้งที่สอง โดยเซสชันที่มีอยู่ของเหยื่อถูกนำมาใช้
• คำขอขาออกทั้งหมดส่งไปยังโครงสร้างพื้นฐานของไมโครซอฟท์ที่ได้รับอนุญาต

ข้อมูลที่อาจถูกขโมยไม่ใช่แค่ทฤษฎี นักวิจัยได้เน้นย้ำถึงโค้ด MFA แบบใช้ครั้งเดียวและลิงก์รีเซ็ตรหัสผ่านที่ยังคงใช้ได้เป็นเวลาหลายนาที รวมถึงรายละเอียดปฏิทินและเอกสารที่ละเอียดอ่อนซึ่ง Copilot จัดทำดัชนีไว้

ปริศนาความรุนแรง: วิกฤต แต่คะแนนเท่าไหร่?

CVE-2026-42824 จุดชนวนให้เกิดการถกเถียงกันเล็กน้อยเกี่ยวกับการจัดอันดับความรุนแรง ไมโครซอฟท์ให้ระดับความรุนแรงสูงสุดภายในองค์กรว่า วิกฤต (Critical) แต่ได้ให้คะแนน CVSS v3.1 พื้นฐานที่ 6.5 (ปานกลาง) เหตุผลคือ การโจมตีต้องอาศัยการโต้ตอบจากผู้ใช้ (การคลิกเพียงครั้งเดียว) ซึ่งทำให้คะแนนลดลง

บางแหล่งรายงานว่ามีคะแนน 7.5 (สูง) จาก National Vulnerability Database (NVD) แต่ในทางปฏิบัติ การตรวจสอบหลายแหล่ง รวมถึงการวิเคราะห์ของ TNW ระบุว่าทั้งบันทึก CSAF ของไมโครซอฟท์และรายการ NVD ต่างก็สะท้อน vector CVSS:3.1 ที่คะแนน 6.5 เหมือนกัน การที่ดูเหมือนว่ามีคะแนนสูงกว่าอาจมาจากนักวิเคราะห์อิสระที่คำนวณภายใต้สมมติฐานผลกระทบที่กว้างกว่า หรือสะท้อนจากการรายงานข่าวในช่วงแรก

ไม่ว่าตัวเลขจะเป็นอย่างไร ฉันทามติก็ชัดเจน: แค่คลิกเดียวก็สามารถเปิดเผยข้อมูลที่ละเอียดอ่อนที่สุดขององค์กรได้

เชื้อสายของช่องโหว่ใน Copilot

SearchLeak ไม่ได้เกิดขึ้นมาลอยๆ มันเป็นส่วนหนึ่งของการค้นพบช่องโหว่ด้านการดูดข้อมูลจาก AI ที่สำคัญอีกสองรายการ

• EchoLeak (CVE-2025-32711) — มิถุนายน 2025 ช่องโหว่ zero-click จาก Aim Security ที่ใช้การฉีดคำสั่ง (prompt injection) ที่ฝังในเอกสารที่ Copilot ประมวลผลโดยอัตโนมัติ ไม่ต้องมีการโต้ตอบจากผู้ใช้เลยแม้แต่น้อย CVSS 9.3
• Reprompt — มกราคม 2026 Varonis แสดงให้เห็นว่า Copilot Personal สำหรับผู้ใช้ทั่วไปสามารถถูกจี้ด้วยเทคนิค P2P injection แบบเดียวกันได้ ไม่ต้องใช้มัลแวร์ ไม่ต้องใช้ปลั๊กอิน ใช้แค่ URL ที่ถูกสร้างขึ้นมาเป็นพิเศษ

เส้นเรื่องที่เชื่อมโยงกันคือการฉีดคำสั่ง (prompt injection) ภัยคุกคามที่เปลี่ยนความสามารถหลักของ AI—การทำตามคำสั่ง—ให้กลายเป็นพื้นผิวการโจมตี ช่องโหว่ที่ตามมาแต่ละครั้งแสดงให้เห็นว่าการแพตช์พื้นผิวหนึ่ง (ผู้ใช้ทั่วไป vs. องค์กร) หรือการเพิ่มมาตรการป้องกัน (การประมวลผลเอกสาร vs. คำค้นหา) ไม่ได้กำจัดภัยคุกคามประเภทนี้ไป แต่มันแค่เปลี่ยนทิศทางความคิดสร้างสรรค์ของผู้โจมตีเท่านั้น

ผู้ดูแลระบบขององค์กรควรทำอะไรตอนนี้

ตัวช่องโหว่ SearchLeak เองได้รับการแพตช์แล้วและไม่จำเป็นต้องให้ลูกค้าดำเนินการใดๆ แต่เทคนิคนี้ไม่ได้หายไปไหน และทีมความปลอดภัยควรนำบทเรียนไปปรับใช้

ตรวจสอบ URL ของ Copilot Search พารามิเตอร์ q ยังคงเปิดเผยอยู่ มองหา HTML ที่ถูกเข้ารหัส เพย์โหลดที่ดูเหมือนสคริปต์ หรือสายอักขระคำสั่งที่ยาวอย่างน่าสงสัยใน URL ของ Copilot Enterprise Search ที่ไหลผ่านบันทึกพร็อกซีของคุณ

เฝ้าระวังคำขอขาออกที่ผิดปกติไปยัง Bing image endpoints หากจู่ๆ มีผู้ใช้สร้างคำขอหลายรายการไปยัง *.bing.com ด้วยเส้นทางการค้นหารูปภาพที่ผิดปกติ โดยเฉพาะรูปแบบที่คล้ายกับข้อมูลที่ถูกเข้ารหัสหรือถูกดูดออกไป ควรส่งสัญญาณเตือน

จำกัดพื้นผิวที่ Copilot จัดทำดัชนี ใช้หลักธรรมาภิบาลข้อมูลแบบให้สิทธิ์น้อยที่สุด จำกัดว่าไซต์ SharePoint, โฟลเดอร์ OneDrive และกล่องจดหมายใดที่ Copilot สามารถจัดทำดัชนีได้ เพื่อที่ว่าช่องโหว่ในอนาคตจะได้ไม่เท่ากับการขโมยทุกสิ่งที่ผู้ใช้เข้าถึงได้ ตรวจสอบและลดสิทธิ์ Microsoft Graph ของ Copilot อย่างสม่ำเสมอ

การเปิดเผยข้อมูลของ SearchLeak ไม่ใช่เรื่องราวเกี่ยวกับแพตช์เพียงตัวเดียว แต่เป็นคำเตือนเกี่ยวกับจุดตัดที่กำลังพัฒนาขึ้นระหว่างการฉีดคำสั่งและช่องโหว่เว็บแบบคลาสสิก เมื่อองค์กรต่างๆ นำ AI copilot ที่มีสิทธิ์เข้าถึงข้อมูลเชิงลึกมาใช้ โมเดลความปลอดภัยที่มองว่าเนื้อหาจาก AI เป็นสิ่งที่เชื่อถือได้จะต้องถูกทบทวนใหม่ ลูกโซ่ครั้งต่อไปจะไม่ใช้จุดบกพร่องสามจุดเดิม แต่มันจะใช้รูปแบบเดิมซ้ำอย่างแน่นอน