AISec Plus Settimana 1 — analisi della minaccia: EchoLeak (CVE-2025-32711), iniezione indiretta di prompt zero-click in Microsoft 365 Copilot.

L'attacco ha combinato quattro bypass distinti per ottenere un'esfiltrazione silenziosa di dati:

Passo 1 — Bypass del classificatore XPIA Microsoft 365 Copilot utilizza i classificatori Cross-Prompt Injection Attack (XPIA) per rilevare e bloccare istruzioni dannose. L'attaccante ha aggirato questo sistema scrivendo il prompt in linguaggio naturale apparentemente diretto al destinatario umano — senza mai menzionare AI, Copilot o parole chiave tecniche. Il classificatore non lo ha mai segnalato.

Passo 2 — Bypass dell'oscuramento dei link Copilot normalmente oscura i link esterni per impedire che i dati lascino l'ambiente M365. L'attaccante ha aggirato questa protezione utilizzando la formattazione Markdown in stile riferimento, che Copilot ha renderizzato senza attivare il filtro di oscuramento.

Passo 3 — Exploit dell'immagine recuperata automaticamente Il comportamento di Copilot di recupero automatico delle immagini incorporate è stato abusato per avviare richieste HTTP in uscita verso un server controllato dall'attaccante — trasportando i dati esfiltrati nei parametri della richiesta.

Passo 4 — Bypass della Content Security Policy (CSP) tramite il proxy di Teams Microsoft Teams opera come proxy attendibile all'interno della content security policy di M365. L'attaccante ha instradato la richiesta di esfiltrazione attraverso questo proxy consentito, aggirando completamente la CSP.

Il risultato: piena escalation di privilegi attraverso i confini di fiducia del LLM, senza alcuna interazione da parte dell'utente. Il payload era puro testo — nessun codice, nessuna firma malware. Copilot si comportava esattamente come previsto: elaborando l'input e rispondendo in modo utile. Le difese tradizionali come antivirus, firewall e scansione statica dei file erano completamente inefficaci.

🗺️ Mappatura della minaccia

Intuizione chiave: questo è un classico esempio di iniezione indiretta di prompt — l'istruzione dannosa proveniva da una fonte esterna (email), non dall'utente. Il LLM non poteva distinguere tra contesto di sviluppo attendibile e contenuto esterno non attendibile.

💥 L'impatto

EchoLeak rappresenta un rischio strutturale, non solo un bug isolato:

• Rischio immediato: qualsiasi organizzazione con M365 Copilot abilitato era potenzialmente vulnerabile all'esfiltrazione silenziosa di dati tramite una singola email appositamente creata
• Ambito: funziona in Word, PowerPoint, Outlook e Teams — su qualsiasi superficie in cui Copilot elabora contenuti
• Novità: primo exploit zero-click confermato contro un agente AI in produzione; la prima volta che un'iniezione di prompt ha ottenuto una reale esfiltrazione di dati in un sistema aziendale in produzione
• Implicazione più ampia: la superficie d'attacco strutturale si applica a qualsiasi assistente basato su LLM con accesso a multiple fonti di dati interne — non solo all'implementazione di Microsoft
• Sfruttamento confermato: nessuno in ambienti reali; Microsoft ha applicato la patch lato server prima che si verificasse un abuso noto

🛡️ Prevenzione e difesa

Cosa ha fatto Microsoft:

• Patch lato server implementata (nessuna azione richiesta al cliente)
• Etichette DLP introdotte per bloccare l'elaborazione di email esterne da parte di Copilot
• Nuova funzionalità della M365 Roadmap che limita l'accesso di Copilot alle email

Qual è la lezione più ampia:

• Accesso ai dati con ambito limitato è la vera soluzione — limita ciò che Copilot può raggiungere prima che una vulnerabilità possa abusarne
• Tratta il contenuto esterno come non attendibile — email, documenti e contenuti web non dovrebbero mai trovarsi nello stesso confine di fiducia delle istruzioni di sistema
• Separa i canali di istruzioni e dati — il LLM non dovrebbe mai essere in grado di confondere l'email di un utente con un comando operativo
• Sandboxing dell'output — filtra e valida ciò che al modello è consentito inviare in uscita prima che lasci il sistema
• Applicare patch alle singole CVE non è sufficiente; il pattern architetturale (LLM + RAG + ampio accesso ai dati) deve essere rafforzato tramite il design

🔗 Fonti

1. The Hacker News — Vulnerabilità AI zero-click espone i dati di Microsoft 365 Copilot senza interazione dell'utente https://thehackernews.com/2025/06/zero-click-ai-vulnerability-exposes.html

2. Hack The Box — Dentro CVE-2025-32711 (EchoLeak): l'iniezione di prompt incontra l'esfiltrazione AI https://www.hackthebox.com/blog/cve-2025-32711-echoleak-copilot-vulnerability

3. Checkmarx — EchoLeak (CVE-2025-32711): analisi della catena di attacco https://checkmarx.com/zero-post/echoleak-cve-2025-32711-show-us-that-ai-security-is-challenging/

4. Sentra — EchoLeak: cosa significa per i tuoi dati la vulnerabilità di iniezione di prompt di Microsoft Copilot https://sentra.io/blog/copilot-echoleak-prompt-injection

5. arXiv — EchoLeak: il primo exploit di iniezione di prompt zero-click nel mondo reale in un sistema LLM in produzione https://arxiv.org/abs/2509.10540

AISec Plus · Settimana 1 · Siamo tutti in crescita. Fatti avanti. Costruisci. Migliora.