🔐 AISec Plus — الأسبوع 1: رسم خريطة التهديد

الباحث: Daniel Ossai Repo: aisecplus-week01-danielossai مقدم: الأسبوع 1 · معسكر AISec Plus

---

📌 اسم الحادث والتاريخ

EchoLeak (CVE-2025-32711) اكتُشف: يناير 2025 · أُفصح عنه: يونيو 2025 · صُحّح: يونيو 2025

---

📝 ماذا حدث

اكتشف باحثون في Aim Security ثغرة خطيرة من نوع حقن الأوامر غير المباشر دون نقرة (zero-click indirect prompt injection) في Microsoft 365 Copilot. عبر إرسال بريد إلكتروني مصمم واحد — دون الحاجة لأي تفاعل من المستخدم — يمكن للمهاجم أن يجعل Copilot يصل بصمت إلى ملفات داخلية ويُسرّب محتوياتها إلى خادم يتحكم به المهاجم.

لم يحتج الضحية للنقر على أي شيء. لم يحتج لفتح مرفق. بمجرد وجود البريد الإلكتروني في صندوق الوارد كان كافياً ليقوم Copilot بمعالجة تعليمات خبيثة مخفية والبدء في تسريب بيانات حساسة للمؤسسة.

قامت Microsoft بتعيين CVE-2025-32711 لهذه الثغرة بدرجة CVSS 9.3 (حرجة). وهي أول حالة موثقة لحقن الأوامر يُستخدم سلاحياً لتسريب بيانات ملموس في نظام إنتاجي للذكاء الاصطناعي. قامت Microsoft بتصحيحها من جانب الخادم؛ ولم يُؤكد أي استغلال في البرية.

---

⚙️ كيف عمل الهجوم

سلّس الهجوم أربعة تجاوزات متميزة لتحقيق تسريب صامت للبيانات:

الخطوة 1 — تجاوز مصنف XPIA يستخدم Microsoft 365 Copilot مصنفات هجمات الحقن عبر الأوامر (XPIA) لكشف ومنع التعليمات الخبيثة. تجاوز المهاجم هذا بكتابة الأمر بلغة طبيعية تبدو موجهة للمستلم البشري — دون ذكر AI أو Copilot أو أي كلمات تشغيل تقنية. لم يقم المصنف بالتنبيه إطلاقاً.

الخطوة 2 — تجاوز إخفاء الروابط عادةً ما يقوم Copilot بإخفاء الروابط الخارجية لمنع البيانات من مغادرة بيئة M365. تحايل المهاجم على ذلك باستخدام تنسيق Markdown بأسلوب المرجع، والذي قام Copilot بعرضه دون تفعيل مرشح الإخفاء.

الخطوة 3 — استغلال الصور التي يتم جلبها تلقائياً تم إساءة استخدام سلوك الجلب التلقائي لـ Copilot للصور المضمنة لبدء طلبات HTTP صادرة إلى خادم يتحكم به المهاجم — حاملة البيانات المسربة في معاملات الطلب.

الخطوة 4 — تجاوز سياسة أمان المحتوى (CSP) عبر وكيل Teams يعمل Microsoft Teams كوكيل موثوق ضمن سياسة أمان المحتوى في M365. قام المهاجم بتوجيه طلب التسريب عبر هذا الوكيل المسموح به، متجاوزاً CSP بالكامل.

النتيجة: تصعيد كامل للصلاحيات عبر حدود الثقة لـ LLM، دون أي تفاعل من المستخدم. الحمولة كانت نصاً خالصاً — لا كود ولا تواقيع برمجيات خبيثة. كان Copilot يتصرف تماماً كما صُمم: معالجة المدخلات والاستجابة بشكل مفيد. كانت الدفاعات التقليدية مثل مضادات الفيروسات وجدران الحماية والمسح الثابت للملفات غير فعالة تماماً.

---

🗺️ رسم خريطة التهديد

الرؤية الرئيسية: هذا مثال نموذجي لـ حقن الأوامر غير المباشر — التعليمات الخبيثة جاءت من مصدر خارجي (بريد إلكتروني)، وليس من المستخدم. لم يستطع LLM التمييز بين سياق المطور الموثوق والمحتوى الخارجي غير الموثوق.

---

💥 التأثير

يمثل EchoLeak خطراً هيكلياً، وليس مجرد خطأ لمرة واحدة:

• الخطر المباشر: أي مؤسسة لديها M365 Copilot مفعلاً كانت عرضة محتملة لتسريب صامت للبيانات عبر بريد إلكتروني مصمم واحد
• النطاق: يعمل عبر Word وPowerPoint وOutlook وTeams — أي سطح حيث يعالج Copilot المحتوى
• الجدة: أول استغلال دون نقرة مؤكد ضد وكيل إنتاجي للذكاء الاصطناعي؛ أول مرة يحقق حقن الأوامر تسريب بيانات حقيقي في نظام مؤسسي حي
• التأثير الأوسع: سطح الهجوم الهيكلي ينطبق على أي مساعد يعتمد على LLM ولديه وصول إلى مصادر بيانات داخلية متعددة — ليس فقط تنفيذ Microsoft
• الاستغلال المؤكد: لا شيء في البرية؛ قامت Microsoft بالتصحيح من جانب الخادم قبل حدوث أي إساءة استخدام معروفة

---

🛡️ الوقاية والدفاع

ما فعلته Microsoft:

• تم نشر التصحيح من جانب الخادم (لا حاجة لإجراء من العميل)
• تم تقديم علامات DLP لمنع Copilot من معالجة رسائل البريد الإلكتروني الخارجية
• ميزة جديدة في خريطة طريق M365 تقيد وصول Copilot إلى رسائل البريد الإلكتروني

ما هو الدرس الأوسع:

• الوصول المحدود إلى البيانات هو الإصلاح الحقيقي — حدد ما يمكن لـ Copilot الوصول إليه قبل أن تتمكن الثغرة من إساءة استخدامه
• عامل المحتوى الخارجي على أنه غير موثوق — يجب أبداً أن تكون رسائل البريد الإلكتروني والمستندات والمحتوى الويب في نفس حدود الثقة مع تعليمات النظام
• افصل قنوات التعليمات والبيانات — لا ينبغي أبداً أن يكون LLM قادراً على الخلط بين بريد إلكتروني لمستخدم وأمر مشغل
• عزل المخرجات — قم بتصفية والتحقق مما يُسمح للنموذج بإرساله خارجياً قبل مغادرته النظام
• تصحيح CVEs فردية ليس كافياً؛ يجب تعزيز النمط المعماري (LLM + RAG + وصول واسع للبيانات) بالتصميم

---

🔗 المصادر

1. The Hacker News — ثغرة ذكاء اصطناعي بدون نقرة تكشف بيانات Microsoft 365 Copilot دون تفاعل المستخدم https://thehackernews.com/2025/06/zero-click-ai-vulnerability-exposes.html

2. Hack The Box — داخل CVE-2025-32711 (EchoLeak): حقن الأوامر يلتقي مع تسريب الذكاء الاصطناعي https://www.hackthebox.com/blog/cve-2025-32711-echoleak-copilot-vulnerability

3. Checkmarx — EchoLeak (CVE-2025-32711): تحليل سلسلة الهجوم https://checkmarx.com/zero-post/echoleak-cve-2025-32711-show-us-that-ai-security-is-challenging/

4. Sentra — EchoLeak: ماذا تعني ثغرة حقن الأوامر في Microsoft Copilot لبياناتك https://sentra.io/blog/copilot-echoleak-prompt-injection

5. arXiv — EchoLeak: أول استغلال حقيقي لحقن الأوامر بدون نقرة في نظام إنتاجي LLM https://arxiv.org/abs/2509.10540

---

AISec Plus · الأسبوع 1 · كلنا ننمو. احضر. ابنِ. تحسن.