تصور کنید یک لینک ساده در ایمیل، کلید دسترسی به خصوصی‌ترین مکاتبات شما را به یک غریبه بدهد. این کابوس اکنون برای کاربران مایکروسافت کوپایلوت (Microsoft Copilot) به واقعیت تبدیل شده است.
به گزارش شرکت وارونیس (Varonis) در ۱۸ آگوست ۲۰۲۶، یک پارامتر مخفی در آدرس‌های URL وجود دارد که اجازه می‌دهد مهاجمان، تاییدیه کاربر را دور بزنند و دستورات را به‌صورت خودکار اجرا کنند. این آسیب‌پذیری در حالی رخ می‌دهد که سازمان‌ها برای ایمن‌سازی عامل‌های هوش مصنوعی (AI Agents) — شبیه به کارمندانی دیجیتال که می‌توانند به‌جای شما کارهای اداری را انجام دهند — در تکاپو هستند. همان‌طور که در تحلیل قبلی ما درباره‌ی ابزارهای حاکمیتی Workday و Microsoft اشاره کردیم، ابزارهای مدیریتی سطح بالا نمی‌توانند حفره‌های معماری سطح پایین را بپوشانند. این وضعیت شبیه به دستیاری است که در را برای غریبه‌ای باز می‌کند، چون درخواست او با کدی مخفی نوشته شده که صاحب‌خانه از وجودش بی‌خبر است.
طبق مستندات وارونیس، این حمله بر پارامتر ?autorun=1 متکی است. وقتی قربانی روی لینکی مانند https://copilot.microsoft.com/?q=[prompt]&autorun=1 کلیک می‌کند، دستیار هوشمند بلافاصله دستور را در نشست (Session) احراز هویت‌شده کاربر اجرا می‌کند.
فرآیند استخراج داده‌ها
پژوهشگران یک زنجیره حمله چندمرحله‌ای را به نمایش گذاشتند:
- کوپایلوت صندوق ورودی کاربر را برای یافتن آدرس ایمیل آخرین فرستنده جست‌وجو می‌کند.
- این داده را در یک متغیر ذخیره می‌کند.
- یک URL به سرور تحت کنترل مهاجم (مثلاً webhook.site) می‌سازد و داده‌های سرقتی را به آن می‌چسباند.
- برای پنهان کردن سرقت و جلوگیری از خطای انتقال، داده‌ها به فرمت base64 تبدیل می‌شوند.
علاوه بر تزریق پرامپت (Prompt Injection) — که مثل این است که کسی در گوشِ مدل زمزمه کند تا دستورات اصلی را فراموش کند و حرف او را گوش دهد — وارونیس راهی برای مسموم کردن حافظه دائمی کوپایلوت یافت. این تهدیدات نشان می‌دهند که جداسازی معماری تنها راه مقابله با تزریق پرامپت در عامل‌های هوش مصنوعی است تا از دسترسی‌های غیرمجاز جلوگیری شود. مهاجم می‌تواند با قرار دادن دستورات پنهان در متادیتای یک وب‌سایت، مدل را مجبور کند ترجیحات بلندمدت کاربر را تغییر دهد. این کار باعث می‌شود مدل در پاسخ‌های آینده سوگیری داشته باشد یا اطلاعات را فیلتر کند، بدون اینکه کاربر بفهمد «شخصیت» هوش مصنوعی‌اش تغییر کرده است.
این اتفاق یک شکست جدی در حفاظ‌ها (Guardrails) است؛ چرا که این سیستم‌ها بیشتر روی «محتوای» دستور تمرکز دارند تا «محرک» اجرا. این نوع بهره‌برداری از مدل‌ها یادآور روش‌های جاسوسی در پوشش گفتگوهای بی‌ضرر با هوش مصنوعی است که در آن داده‌های حساس به‌صورت پنهان منتقل می‌شوند. برای کاربران تجاری، یک ایمیل فیشینگ ساده می‌تواند منجر به نشت کامل اعتبارنامه‌ها شود، فارغ از اینکه پاسخ‌های مدل چقدر «ایمن» به نظر برسند.
گام بعدی شما
- دسترسی‌های هوش مصنوعی در سازمان خود را بازبینی کنید و سطح دسترسی به ایمیل‌ها را محدود کنید.
- با هر لینک تولیدشده توسط AI یا لینک‌های مشکوک، مانند یک فایل اجرایی خطرناک برخورد کنید.
- یادداشت‌های به‌روزرسانی مایکروسافت در هفته‌های آینده را برای تایید اصلاح پارامترهای URL دنبال کنید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو