Microsoft Copilot Cowork виявив серйозну вразливість: AI-агент піддається атакам за допомогою підказок і автоматично розкриває корпоративні конфіденційні файли

Загроза безпеки від PromptArmor розкриває вразливість у Microsoft 365 Copilot Cowork, яка дозволяє зловмисникам через зловмисний файл навичок викликати витік конфіденційних даних компанії з SharePoint та OneDrive.
(Передісторія: GitHub Copilot припиняє самостійне підписання: неконтрольоване використання AI, економіка дешевих планів повністю руйнується)
(Додатковий контекст: Повний гайд по Claude Cowork: перетворюємо AI з чат-асистента у вашого цифрового співробітника)

Зміст статті

Перемикач

• Microsoft каже, що запитує у вас, але не має
  • Кроки атаки
• Чим розумніша модель, тим ширше витік
• Обмеження прав — єдина сучасна захисна стіна

5 тестів — 5 успіхів. Інформаційна безпекова організація PromptArmor минулого тижня опублікувала звіт про загрози, в якому вказано, що функція Copilot Cowork у Microsoft 365 має повністю відтворювану ланцюг атаки витоку файлів.

Зловмисник достатньо вставити 5 рядків зловмисних команд у 81-рядковий файл налаштувань навичок, щоб змусити AI-агента без відома користувача передавати конфіденційні файли з SharePoint і OneDrive на сервер зловмисника.

Це не проблема окремої моделі. Claude Opus 4.7 і Claude Sonnet 4.6 підтверджено уразливими, причому Opus 4.7 демонструє більш «активну» поведінку, самостійно розширюючи пошук, включаючи у витік всі файли, відкриті користувачем під час цього тижня.

Microsoft каже, що запитує у вас, але не має

Ключовий момент цієї атаки — різниця між офіційним файлом і фактичною поведінкою.

Офіційна документація Microsoft чітко стверджує: «Cowork перед виконанням чутливих операцій, наприклад, відправки електронної пошти або публікації повідомлень у Teams, спочатку запитує вашу згоду.»

Проте дослідники PromptArmor виявили, що коли отримувач — це сам користувач, ця правила безпосередньо не працює. Надсилання листа самому собі або повідомлення у Teams автоматично виконується Cowork без підтвердження дозволу, і користувач не має можливості змінити цю поведінку.

Ця деталь стає ключовим проривом у ланцюгу атаки.

Copilot Cowork — це функція Microsoft 365 Frontier, яка через Microsoft Graph отримує повний доступ до хмарних даних користувача, може читати і керувати всією інформацією в орендарі компанії. Іншими словами, вона бачить все, що бачить користувач, включно з фінансовими звітами на SharePoint, кадровими даними у OneDrive та файлами з особистою ідентифікацією.

Кроки атаки

Ланцюг атаки складається з шести кроків:

Крок 1: У SharePoint або OneDrive жертви зберігаються чутливі файли з особистими або фінансовими даними.

Крок 2: Жертва завантажує з мережі файл налаштувань навичок, завантажує його у Copilot Cowork — це звичайна операція, що фактично є встановленням плагіна. Файл навичок автоматично завантажується з певної папки у OneDrive користувача, і адміністратор має дуже обмежений контроль над цим.

Крок 3: Жертва просить Copilot Cowork підготувати підсумок роботи за тиждень, що активує виконання навички.

Крок 4: Вбудовані зловмисні інструкції у підказці керують агентом, змушуючи його отримати «передавальне посилання з попередньою авторизацією» для кожного файлу, а потім за допомогою зловмисного HTML-мітки зображення передати ці посилання на сервер зловмисника.

Що таке передавальне посилання з попередньою авторизацією? Це URL з авторизаційною інформацією, який дозволяє будь-кому без входу у Microsoft завантажити файл, просто перейшовши за посиланням.

Крок 5: Агент надсилає повідомлення у Teams користувачу, яке містить ці зловмисні зображення, і весь процес відбувається без будь-якого дозволу користувача, а зловмисний вміст залишається непомітним навіть при відкритті повідомлення.

Крок 6: Користувач відкриває повідомлення у Teams, браузер автоматично завантажує зображення, і передавальне посилання з попередньою авторизацією передається на сервер зловмисника, що дозволяє йому у будь-який момент завантажити всі файли.

Модель розумніша — витік ширший

Тестування PromptArmor показало, що зростання можливостей моделі збільшує масштаб потенційної шкоди у цій атаці.

Спочатку використовувалась «автоматична» модель, яка динамічно перемикалась між Claude Opus 4.7 і Claude Sonnet 4.6. Після цього дослідники окремо перевірили Opus 4.7 і виявили, що одна й та сама інструкція повністю працює.

Усі тестові сценарії підтвердили, що ця атака цілком можлива і виконується незалежно від конкретних запитів користувача — будь-який запит, що активує навички, достатній для успішної ін’єкції.

Ще одна тривожна особливість — стійкість атаки. Copilot Cowork підтримує планування завдань, дозволяючи користувачам налаштовувати автоматичне виконання команд. Якщо зловмисник вставить свою інструкцію у планувальник, атака може повторюватися без участі користувача, постійно витікаючи конфіденційні дані.

PromptArmor наголошує, що це не просто баг, який можна виправити патчем. Це системний ризик у архітектурі корпоративного AI-агента. Коли агент отримує делеговані права у кількох системах, довіра до будь-якої з них може зруйнуватися і стати точкою входу для повного проникнення.

Обмеження прав — єдина сучасна захисна стіна

PromptArmor у своєму звіті також повідомляє про ще один вразливий момент, який дозволяє витік даних з ізольованого середовища Copilot Cowork, — це окрема проблема, яка наразі перебуває у процесі відповідального розкриття.

Цей ланцюг атаки був оприлюднений навмисно, щоб не чекати виправлень, оскільки ризик виникає не через конкретну вразливість, а через архітектурний дизайн системи. Користувачі мають усвідомлювати цей ризик і самостійно вирішувати, чи приймати його.

Основний спосіб зменшити ризик — обмежити дії агентів. Адміністратори можуть обмежити завантаження файлів у SharePoint, наприклад, командою Set-SPOSite -Identity -BlockDownloadPolicy $true або за допомогою маркування чутливості для блокування функції завантаження.

Це призведе до втрати функціональності: користувачі зможуть лише переглядати файли у браузері, але не зможуть їх завантажити, роздрукувати або синхронізувати, включно з Word, Excel, PowerPoint та іншими додатками Microsoft 365.

Це вже друга масштабна проблема безпеки у екосистемі Microsoft Copilot за останній час. Раніше виявлена уразливість EchoLeak (CVE-2025-32711) стосувалась ін’єкції підказок у персональній версії Copilot, а дослідження Varonis щодо атаки Reprompt (CVE-2026-24307) показало схожі шляхи витоку даних одним кліком. Вразливість у Copilot Studio (CVE-2026-21520, CVSS 7.5) вже виправлена, але подібні проблеми залишаються у ширшому спектрі продуктів Copilot.

Межі можливостей AI-агентів стають новим полем битви у корпоративній безпеці.

Коли інструмент може замінити вас у «роботі», його права доступу неминуче розширюються, а кожен дозвіл — потенційний канал атаки. Обмеження дій агентів — це по суті обмеження їхньої цінності, і ця суперечність наразі не має ідеального рішення.