CoSnitch: Как нерегламентиран параметър позволи кражба на данни чрез Microsoft Copilot

Изображение: Svetni.me / ИИ генерирано изображение

Изследователският екип на фирмата за сигурност Varonis наскоро разкри критична уязвимост в рамките на Microsoft Copilot, която би могла да компрометира сигурността на потребителските данни с един-единствен клик. Според официалния доклад на компанията, публикуван в техния блог, атаката, наречена CoSnitch, се възползва от недокументирани параметри в URL адресите на асистента, позволявайки скрито изпълнение на команди [1].

Изображение: Svetni.me / ИИ генерирана инфографика

Тази статия разглежда в дълбочина архитектурата на експлойта, причините за неговия успех и предприетите стъпки от страна на Microsoft за смекчаване на заплахата.

Откриването на недокументирания параметър

Един от основните защитни механизми на съвременните AI асистенти е изискването за изрично потребителско съгласие преди изпълнението на чувствителни команди. Когато изследователите се опитали да създадат експлойт, който да извлича данни при просто кликване върху връзка, Copilot първоначално е блокирал опитите, изисквайки допълнително действие от страна на потребителя, като например натискане на клавиша за потвърждение.

Въпреки това, анализирайки отказите на системата, експертите са успели да разкрият технически подробности за вътрешната архитектура на асистента. Оказва се, че Copilot поддържа недокументиран параметър в URL адреса: ?autorun=1. Този параметър, комбиниран с добре познатия параметър ?q= за задаване на заявка, е позволил на изследователите да заобиколят защитните механизми и да изпълнят произволен код автоматично, без нужда от допълнително взаимодействие от страна на жертвата [1].

Механизъм на атаката CoSnitch

Атаката CoSnitch протича в няколко прецизно дефинирани стъпки, които използват доверието на потребителя в легитимните домейни на Microsoft. Според доклада на Varonis Threat Labs, процесът включва:

Първо, жертвата кликва върху злонамерен URL адрес, който може да бъде разпространен чрез имейл, чат, фишинг страница или дори QR код.

Второ, браузърът зарежда легитимния домейн на Copilot в рамките на активната и удостоверена сесия на жертвата. Това означава, че асистентът вече има достъп до всички свързани приложения и данни на потребителя.

Трето, присъствието на параметъра ?autorun=1 задейства автоматичното изпълнение на заявката, подадена чрез параметъра ?q=, като напълно заобикаля нуждата от натискане на бутон или клавиш за потвърждение.

Четвърто, Copilot обработва инжектираната заявка (prompt injection) с пълен достъп до контекста на сесията, свързаните приложения и паметта на асистента.

Пето, заявката се изпълнява докрай, което може да включва мрежови заявки, извикване на конектори или многостъпкови вериги, дори ако потребителят затвори раздела в браузъра веднага след зареждането му. Откраднатите данни се кодират в base64 формат, за да се прикрие предаването им и да се предотвратят грешки, след което се изпращат към сървър, контролиран от нападателя [1].

Отравяне на постоянната памет на Copilot

В допълнение към атаката CoSnitch, изследователите демонстрират и друг, свързан вектор на атака, който се прицелва в постоянната памет на Copilot. Тази памет е предназначена да съхранява потребителски предпочитания, инструкции и предишни взаимодействия, за да персонализира и улесни бъдещите сесии.

Според доклада, атакуващите могат да скрият инструкции в метаданните на злонамерена уеб страница. Когато потребителят поиска от Copilot да обобщи съдържанието на тази страница, асистентът прочита и изпълнява скритите инструкции, интегрирайки ги в своята постоянна памет. Това ефективно "отравя" паметта на асистента.

След като паметта е компрометирана, нападателите могат да манипулират бъдещите отговори на Copilot. Това им позволява да пренасочват изходи, да филтрират важна информация, да изкривяват отговорите в полза на своите наративи или дори да програмират изпълнението на специфични действия при настъпване на определени условия [1].

Реакция и мерки от страна на Microsoft

Откриването на CoSnitch повдига сериозни въпроси относно сигурността на съвременните AI системи и ефективността на техните предпазни огради (guardrails). Varonis е докладвала за уязвимостта на Microsoft през ноември, което е дало начало на процес по отстраняване на проблема.

Три месеца по-късно, през февруари, Microsoft тихомълком е смекчила уязвимостта, като е премахнала възможността параметърът ?q= да инжектира текст директно във входа на чатбота. Въпреки че това временно решение ефективно е блокирало атаката, то е изисквало от легитимните потребители да кликват и въвеждат текст ръчно, което е нарушило функционалността на някои интеграции на трети страни, които са разчитали на този параметър.

По-късно са били въведени по-всеобхватни корекции, които целят да възстановят функционалността, като същевременно поддържат високо ниво на сигурност и предотвратяват бъдещи злоупотреби с недокументирани параметри в екосистемата на Copilot [1].

Значение за бъдещето на киберсигурността

Уязвимостта CoSnitch служи като ярко напомняне, че интеграцията на изкуствен интелект в критични корпоративни процеси носи със себе си нови вектори за атака. Въпреки че системите като Copilot разполагат със сложни механизми за защита, находчивостта на изследователите и потенциалните нападатели изисква непрекъснат мониторинг и адаптация.

Този случай подчертава необходимостта от прозрачност по отношение на системните параметри и архитектурата на AI асистентите. Откриването и злоупотребата с недокументирани функции остава класически вектор на атака, който сега намира ново приложение в света на генеративния изкуствен интелект. С разрастването на възможностите на тези технологии, индустрията за киберсигурност ще трябва да разработи нови стандарти за проверка на безопасността на AI системите, преди те да бъдат внедрени в мащабни корпоративни среди [1].

Източници:

[1]: CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower - Varonis

[2]: Microsoft Copilot reveals secret input that allowed it to be hacked - Ars Technica