Furto Silencioso de Dados: Vulnerabilidade 'Reprompt' no Microsoft Copilot Exfiltrou Dados Sensíveis com Um Clique

Uma vulnerabilidade sofisticada no assistente de IA carro-chefe da Microsoft, o Copilot, expôs recentemente usuários corporativos a um ataque silencioso de exfiltração de dados que não exigia mais do que um único clique. Apelidada de 'Reprompt' pelos pesquisadores, essa exploração em múltiplos estágios contornava camadas críticas de segurança, permitindo que agentes maliciosos roubassem dados sensíveis de conversas e informações do usuário diretamente da interface confiável do Copilot. A descoberta ressalta o panorama de ameaças novo e complexo que surge em torno da integração de IA generativa nos principais pacotes de produtividade.

A cadeia de ataque era enganosamente simples em execução, mas tecnicamente complexa em design. Ela explorava os mecanismos de processamento de linguagem natural e retenção de contexto do Copilot. Um atacante primeiro criava um prompt malicioso projetado para manipular o comportamento da IA. Esse prompt era então ocultado dentro de um documento aparentemente comum — como um PDF, arquivo do Word ou até uma página da web — compartilhado por meio de uma plataforma de colaboração comum como o Microsoft Teams ou SharePoint.

Quando um usuário desavisado abria esse documento e optava por 'compartilhá-lo' com o Copilot para análise ou resumo, a exploração era acionada. O prompt malicioso, agora parte do contexto compartilhado, instruía o Copilot a ignorar suas diretrizes de segurança anteriores e executar uma nova série oculta de comandos. Essa técnica de 're-prompting' efetivamente sequestrava o tópico da conversa.

Nos estágios subsequentes, a sessão comprometida do Copilot poderia receber comandos para recuperar e codificar seu próprio histórico de conversas, que frequentemente contém consultas sensíveis, dados comerciais proprietários ou informações pessoais discutidas pelo usuário. Os dados codificados eram então exfiltrados fazendo com que o Copilot gerasse uma saída específica, como uma tabela em markdown ou um bloco de código, que continha as informações roubadas. Essa saída poderia ser enviada para um domínio externo controlado pelo atacante, tudo sem acionar os alertas padrão de prevenção contra perda de dados (DLP) ou segurança de rede, pois o tráfego se originava do serviço de nuvem confiável do Microsoft 365.

O que tornou o 'Reprompt' particularmente alarmante foi sua capacidade de contornar controles de segurança de nível empresarial. O Microsoft Copilot para Microsoft 365 inclui promessas de proteção de dados comerciais, assegurando que os prompts e respostas dos usuários não são usados para treinar os modelos subjacentes e são isolados dentro do locatário. A exploração, no entanto, manipulava o contexto da sessão ativa, criando uma brecha dentro dessas mesmas proteções. Ela demonstrou que o limite de segurança para assistentes de IA não é apenas o modelo em si, mas todo o pipeline conversacional e seus pontos de integração.

A Microsoft respondeu prontamente à divulgação, liberando correções que fortalecem o isolamento entre o conteúdo do documento fornecido pelo usuário e o conjunto principal de instruções que rege o comportamento do Copilot. A correção envolveu o reforço da separação de contextos e a implementação de uma validação mais rigorosa das sequências de instruções na sessão para evitar esse tipo de re-prompting encoberto.

Para a comunidade de cibersegurança, a vulnerabilidade 'Reprompt' serve como um estudo de caso crítico. Ela vai além dos ataques de injeção tradicionais, visando o paradigma único de 'prompt-e-resposta' da IA generativa. As equipes de segurança agora devem considerar:

• Injeção de Prompt como um Vetor de Ameaça Primário: Ataques de injeção de prompt diretos e indiretos, onde instruções maliciosas são alimentadas à IA por meio de dados externos, representam um perigo claro e presente.
• Superfície de Ataque Expandida: A integração da IA em e-mail, documentos e plataformas de chat cria novos pontos de entrada de alta confiança para atacantes. Um documento comprometido não é mais apenas uma ameaça de macro; pode ser uma ferramenta para violar as restrições da IA.
• A Ilusão do Sandboxing: Suposições de que a IA hospedada na nuvem opera em um ambiente perfeitamente selado são perigosas. O fluxo de dados entre o usuário, a IA e os recursos externos precisa de um escrutínio meticuloso.
• Necessidade de uma Postura de Segurança Específica para IA: Os testes de segurança de aplicativos tradicionais são insuficientes. As organizações devem adotar ferramentas e práticas para realizar testes de penetração (red teaming) dos comportamentos da IA, monitorar padrões anômalos de prompts e proteger todo o fluxo de trabalho potencializado por IA.

A correção do 'Reprompt' fecha uma porta específica, mas abre uma conversa mais ampla sobre a construção de sistemas potencializados por IA que sejam resilientes e confiáveis. À medida que os assistentes de IA se tornam copilotos onipresentes para o trabalho do conhecimento, garantir sua segurança não é um recurso — é a base da confiança corporativa.