Microsoft 365 Copilot bị khai thác thông qua sơ đồ Mermaid, cho phép hacker rút dữ liệu bí mật

Một nhà nghiên cứu bảo mật đã phát hiện chuỗi lỗ hổng kết hợp indirect prompt injection + khả năng render Mermaid trong M365 Copilot để rút dữ liệu nội bộ (email…) ra ngoài.

Kỹ thuật hacker sử dụng ở đây là gài lệnh ẩn trong file, dặn Copilot tóm tắt. Copilot chạy công cụ lấy email, mã hóa ra hex, nhúng vào một sơ đồ Mermaid giả nút “Login” với hyperlink chứa dữ liệu. Khi người dùng click, dữ liệu gửi về server kẻ tấn công.

Vấn đề này rất nghiệm trọng , Copilot có quyền truy cập rất nhiều dữ liệu nội bộ, từ email đến SharePoint và OneDrive. Nếu bị lạm dụng, phạm vi rò rỉ có thể rất lớn.

Thêm nữa, prompt injection hiện chưa có giải pháp triệt để. LLM vẫn rất dễ bị “dẫn dắt” bởi các chỉ dẫn khéo léo ẩn trong nội dung. Việc phân biệt giữa “nội dung” và “mệnh lệnh” là bài toán chưa được giải xong.

Khi có cả ba yếu tố:

• LLM dễ nghe lời
• Kênh rút dữ liệu (hyperlink, sơ đồ)
• Hành vi bấm của người dùng

Ta có điều mà cộng đồng gọi là “Lethal Trifecta”.
Vì đây không phải lừa người dùng nhập dữ liệu. AI tự đi lấy dữ liệu theo lệnh bị giấu trong tài liệu.

Tức là:

• Không cần trick người dùng.
• Không cần bypass bảo mật nội bộ.
• AI tự làm giúp hacker.

Nghiêm trọng ở chỗ:

Copilot được gắn với email, SharePoint, OneDrive, Teams, nghĩa là mọi dữ liệu doanh nghiệp.

Nhấn để mở rộng...

Điểm gây tranh cãi lớn nhất: MSRC xác định M365 Copilot nằm ngoài phạm vi bounty. Nghĩa là người tìm ra lỗ hổng không được thưởng.
Nhiều người cho rằng đây là một động thái “nguy hiểm”, vì nó giảm động lực báo lỗi có trách nhiệm. Một số bình luận còn nói thẳng: “Microsoft đang vô tình khuyến khích người tìm lỗi đem bán exploit thay vì báo cáo.” Lập luận này không phải vô lý. Hệ sinh thái an toàn cần sự khuyến khích, không phải ngăn cản.

Microsoft đã vá lỗ hổng bằng cách loại bỏ khả năng hyperlink hoạt động trong sơ đồ Mermaid.



Tham khảo nguồn