Dossier copilot-searchleakInjection de promptÉtats-Unis
SearchLeak : une chaîne en un clic dans la recherche de M365 Copilot exfiltre des données via Bing
Varonis Threat Labs a enchaîné une injection de prompt, une condition de concurrence au rendu et une SSRF via Bing pour qu'un seul lien forgé fasse récupérer des données sensibles à Copilot et les intègre dans une requête d'image. Microsoft a corrigé côté serveur.
ÉlevéeAttaque contre l’IAStatut: CorrigéDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 15 juin 2026
- Lieu
- États-Unis
- Cible
- Recherche d'entreprise de Microsoft 365 Copilot
- Gravité
- Élevée
- Déclenché par
- Varonis Threat Labs
- Type d’acteur
- Chercheurs en sécurité
- Perte déclarée
- Aucune déclarée
- CVE
- CVE-2026-42824
Ce qui s’est passé
Varonis Threat Labs a enchaîné une injection de prompt, une condition de concurrence au rendu et une SSRF via Bing pour qu'un seul lien forgé fasse récupérer des données sensibles à Copilot et les intègre dans une requête d'image. Microsoft a corrigé côté serveur.
Impact: Vol en un clic des données d'entreprise accessibles au Copilot de la victime ; aucun abus en conditions réelles signalé
Qui l’a déclenché
Acteur: Varonis Threat Labs
Attribution: Divulgation responsable à Microsoft ; aucune exploitation signalée
Mobile: Recherche en sécurité
Comment c’est arrivé
Vecteur d’attaque: Lien forgé transportant des instructions injectées ; SSRF via Bing pour contourner les contrôles de sortie ; exfiltration par balise image
Cause racine: La recherche d'entreprise faisait confiance au texte fourni par le lien et rendait des URL d'images contrôlées par l'attaquant
Chronologie
- Microsoft déploie un correctif côté serveur
- Varonis publie SearchLeak
Réponse
Microsoft a corrigé sur ses serveurs ; aucune action requise des clients
Statut actuel: Corrigé
Sources (nouvel onglet)
- Dark Reading darkreading.com
- BeyondMachines beyondmachines.net
- Penligent penligent.ai
Citer ce dossier
SearchLeak : une chaîne en un clic dans la recherche de M365 Copilot exfiltre des données via Bing. AI Threat Watch, dossier copilot-searchleak, 15 juin 2026. https://aithreat.io/fr/cases/copilot-searchleak/
Lien permanent: https://aithreat.io/fr/cases/copilot-searchleak/