Varonis выявила автозапуск промптов в Microsoft Copilot через скрытый URL-параметр

AI-дайджестРедакция Mimile.ai18 августа 2026 г. в 18:00

Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.

Varonis выявила автозапуск промптов в Microsoft Copilot через скрытый URL-параметр

Компания Varonis раскрыла во вторник, что недокументированный параметр `?autorun=1` в URL Microsoft Copilot автоматически выполняет встроенные промпты без согласия пользователя. Специально сформированная ссылка может заставить Copilot искать во входящих последний адрес отправителя или сохранённые учётные данные и передавать их на подконтрольный атакующему сервер. Отдельно Varonis показала инъекцию промптов через веб-страницу, которая отравляет постоянную память Copilot, когда пользователь просит обобщить страницу.

1 источник

Varonis выявила автозапуск промптов в Microsoft Copilot через скрытый URL-параметр

arstechnica.com

Ars Technica

Читать также

Microsoft исправила уязвимость CoSnitch в Copilot Personal

Microsoft выпустила исправление 18 августа для CoSnitch — цепочки prompt injection в Copilot Personal, раскрытой Varonis Threat Labs. Уязвимость позволяла специально сформированному URL автоматически выполнять промпты и передавать данные без действий пользователя. Varonis не зафиксировала эксплуатации в реальных атаках, а Microsoft заявляет, что корпоративные клиенты не затронуты.

Уязвимость Copilot позволила хакерам красть коды 2FA

Критическая уязвимость в Microsoft Copilot, получившая название SearchLeak, позволила злоумышленникам перехватывать коды двухфакторной аутентификации пользователей. Эксплойт обходит меры безопасности, манипулируя поисковой функцией ИИ, что приводит к утечке конфиденциальных данных.

SpecterOps представит уязвимости passkey на Black Hat USA

Исследователи SpecterOps представят три уязвимости нулевого дня в реализации passkey от Microsoft на конференции Black Hat USA в следующем месяце в Лас-Вегасе. Эти недостатки могут позволить злоумышленникам выдавать себя за привилегированные облачные учетные записи путем повторного воспроизведения учетных данных аутентификации.

Вредонос iAuthFlow v2 добавляет ключи доступа злоумышленников во взломанные почтовые аккаунты

Исследователи Abnormal обнаружили вредоносный набор iAuthFlow v2, продаваемый на российских форумах дороже $10 000, который позволяет злоумышленникам возвращать доступ к взломанным почтовым аккаунтам даже после смены пароля. Инструмент выманивает учётные данные Google, Microsoft, iCloud или LinkedIn, затем незаметно создаёт ключ доступа, контролируемый атакующим. Abnormal рекомендует проверять ключи доступа, OAuth-токены, почтовые правила и удалять посторонние методы аутентификации.