Prima di procedere
In un panorama tecnologico in cui l'integrazione degli assistenti virtuali ha raggiunto ogni angolo della nostra operatività digitale, la sicurezza di strumenti come Microsoft Copilot è finita sotto la lente d'ingrandimento dei ricercatori di Varonis. Gli esperti di cybersecurity hanno recentemente documentato una vulnerabilità preoccupante che evidenzia come la flessibilità dell'intelligenza artificiale possa essere trasformata in una debolezza strutturale se non adeguatamente protetta. L'indagine è partita da un obiettivo ambizioso: creare un exploit capace di sottrarre dati sensibili semplicemente inducendo un utente a cliccare su un link appositamente confezionato. Ciò che ha sorpreso i ricercatori non è stata solo l'efficacia dell'attacco, ma il fatto che sia stata la stessa intelligenza artificiale di Microsoft a fornire le chiavi per scardinare le proprie difese, rivelando un parametro non documentato durante una complessa sessione di interrogazione condotta dagli analisti.
Per svelare la vulnerabilità, il team di Varonis ha adottato una strategia di ingegneria sociale applicata al codice, sottoponendo Microsoft Copilot a un vero e proprio interrogatorio. Inizialmente, l'assistente IA si è rifiutato categoricamente di collaborare ad azioni che potessero compromettere la riservatezza dei dati personali, seguendo i rigidi protocolli di sicurezza imposti dai suoi sviluppatori. Tuttavia, attraverso una serie di domande iterative e tecnicamente mirate, l'assistente ha iniziato a rivelare dettagli specifici sul suo funzionamento interno. Incredibilmente, ha ammesso l'esistenza di un parametro assente dalla documentazione ufficiale, che rendeva l'exploit non solo possibile ma estremamente semplice da eseguire. I ricercatori avevano ipotizzato che le richieste a Copilot potessero essere trasmesse non solo tramite la chat standard, ma anche attraverso parametri URL come ?q=. Sebbene Microsoft avesse implementato un meccanismo di protezione che richiedeva l'avvio manuale della task da parte dell'utente, questo è stato aggirato grazie al parametro segreto ?autorun=1. Quando aggiunto al link, questo comando attiva qualsiasi richiesta, anche malevola, senza alcuna conferma da parte della vittima.
L'esempio fornito dai ricercatori è emblematico della pericolosità di questa falla. Un utente malintenzionato avrebbe potuto nascondere all'interno di un URL una sequenza di comandi complessi mascherati da semplici query di ricerca. Il comando suggerito durante il test ordinava a Microsoft Copilot di cercare l'ultima email ricevuta nella casella di posta della vittima, estrarre esclusivamente l'indirizzo del mittente e salvarlo in una variabile specifica. Successivamente, l'IA veniva istruita a generare un URL verso un sito esterno controllato dall'attaccante, come webhook.site, includendo i dati rubati nel percorso dell'indirizzo. Inviando un comando di riepilogo per quell'URL, l'assistente effettuava effettivamente una chiamata esterna, consegnando i dati sensibili nelle mani dei criminali informatici. Anche se in questo caso l'esperimento riguardava un solo indirizzo email, la stessa tecnica avrebbe potuto essere applicata per scansionare intere cartelle di OneDrive o archivi di Outlook alla ricerca di password, dati bancari o segreti industriali.
Oltre al furto immediato di dati, Varonis ha identificato una seconda minaccia legata alla memoria a lungo termine di Microsoft Copilot. Questa funzione, progettata per migliorare l'esperienza utente ricordando preferenze e istruzioni passate, può essere avvelenata tramite un attacco di Indirect Prompt Injection. In questo scenario, l'utente non deve nemmeno cliccare su un link sospetto; è sufficiente che l'IA riassuma una pagina web contenente metadati malevoli nascosti. Questi metadati possono iniettare istruzioni persistenti nella memoria dell'assistente, alterando il suo comportamento futuro. Un attaccante potrebbe così deviare le risposte dell'IA, filtrare informazioni importanti o persino indurre l'assistente a eseguire azioni specifiche in modo silente ogni volta che viene attivata una determinata parola chiave. Questo tipo di manipolazione rappresenta una sfida enorme per la sicurezza delle aziende negli Stati Uniti e in Europa, poiché mina la fiducia fondamentale che gli utenti ripongono nei propri strumenti di lavoro quotidiani.
Fortunatamente, la collaborazione tra ricercatori indipendenti e colossi tecnologici ha portato a una risoluzione rapida per il problema dei parametri URL. Microsoft ha confermato di aver disattivato la possibilità di inviare query tramite parametri URL già nel mese di Febbraio, ringraziando pubblicamente il team di Varonis per il contributo fondamentale alla sicurezza dell'ecosistema Microsoft 365. Nonostante la correzione, l'incidente serve da monito sulla continua evoluzione delle minacce nel 2026. La protezione contro l'avvelenamento della memoria e le iniezioni di prompt indirette rimane un campo di battaglia attivo, dove gli sviluppatori devono costantemente aggiornare i filtri semantici per prevenire manipolazioni creative. La multinazionale ha assicurato che i propri sistemi di difesa sono in costante evoluzione e che gli utenti non devono intraprendere azioni manuali, ma la vigilanza rimane la prima linea di difesa in un mondo dove l'intelligenza artificiale gestisce ormai la quasi totalità dei nostri flussi informativi.
