Resumo
Pesquisadores da Varonis descreveram um ataque de 'um clique' que permitia exfiltrar dados de usuários do Microsoft Copilot Personal via injeção de parâmetros em URLs. A Microsoft lançou correção no Patch Tuesday de 13 de janeiro de 2026.
Descrição técnica
A técnica chamada 'Reprompt' explorava um parâmetro 'q' em URLs do Copilot para injetar prompts que eram autoexecutáveis ao carregar a página. O ataque operava em três frentes descritas pela Varonis:
- Parameter‑to‑Prompt (P2P): instruções inseridas no parâmetro 'q' auto‑populam e executam prompts aproveitando a sessão autenticada do usuário;
- Double‑Request: contorna proteções ao repetir chamadas, uma vez que mecanismos de proteção aplicavam‑se apenas à primeira requisição;
- Chain‑Request: encadeamento de prompts gerados pelo servidor do atacante para extrair dados em etapas sucessivas.
Alcance e limites
Segundo a matéria, o vetor afetou o Copilot Personal (integração em Windows e Edge) e poderia acessar histórico, prompts e dados do Microsoft account do usuário, como arquivos recentes ou geolocalização. A publicação especifica que usuários empresariais do Microsoft 365 Copilot não foram afetados pelas proteções de Purview, DLP e controles de tenant — ou seja, a falha atingiu o produto orientado a consumidores. A Varonis reportou formalmente a Microsoft em 31 de agosto de 2025 e a correção foi distribuída no Patch Tuesday de 13 de janeiro de 2026.
Exploração em campo
A fonte afirma que não houve exploração conhecida em ambiente real até a publicação. Ainda assim, o baixo custo de operação — um link de phishing com um parâmetro malicioso — tornava o risco relevante para usuários consumidores.
Recomendações
- Aplicar imediatamente as atualizações de janeiro de 2026 (Patch Tuesday) disponibilizadas pela Microsoft;
- Tratar entradas de URL em plataformas de IA como não confiáveis e bloquear/prevalidar parâmetros recebidos via web;
- Usuários do Copilot Personal devem evitar clicar em links não verificados, revisar prompts pré‑preenchidos e monitorar atividade da conta para solicitações incomuns de dados;
- Fornecedores de IA: auditar a forma como parâmetros externos são transformados em prompts e aplicar validação server‑side persistente para evitar cadeias de comando dinâmicas.
Observações finais
A reportagem destaca o risco específico de plataformas de IA que aceitam entradas externas que são transformadas em prompts. Embora tenha sido corrigido, o incidente reforça a necessidade de modelagem de ameaça focada em como dados externos podem virar instruções executáveis em sistemas de IA.
Fonte original: Cyber Security News (relato da Varonis)