Copilot da Microsoft tinha parâmetro secreto que roubava palavras-passe

O Microsoft 365 Copilot para empresas teve, durante meses, um truque escondido na URL que valia ouro para qualquer atacante: um parâmetro secreto que permitia correr comandos automaticamente e sacar dados sensíveis assim que alguém clicava num link.

A descoberta não veio de engenharia reversa nem de fuzzing agressivo. Veio do próprio Copilot. Investigadores da Varonis foram perguntando, com calma, como funcionavam os “rails” de segurança que obrigam a um gesto explícito do utilizador antes de executar acções poderosas. Copilot recusava o pedido de automatizar tudo, mas cada recusa vinha carregada de detalhes técnicos sobre a sua arquitectura interna. A típica conversa de suporte que, aos poucos, revela mais do que devia.

Depois de um jogo de perguntas digno de “20 perguntas” aplicado a um LLM, o assistente acabou por largar o segredo: um parâmetro de URL não documentado, ?autorun=1, que contornava por completo a exigência de consentimento. Em conjunto com o já conhecido ?q=, que injectava o texto no campo de prompt, bastava enviar uma ligação do género https://copilot.microsoft.com/?q=&autorun=1 com um prompt malicioso colado a seguir. O alvo carregava no link, o Copilot abria autenticado na conta Microsoft 365 da vítima e a ordem corria sem um único clique extra.

Os exemplos dados pela Varonis não são teóricos. Um dos prompts dizia ao Copilot para abrir o email, identificar o último remetente, extrair o endereço e construir um URL para um servidor controlado pelo atacante. Noutro caso, o assistente era instruído a procurar passwords ou credenciais no histórico da caixa de correio e a enviar o resultado, em base64, para um site controlado pelo atacante, abrindo automaticamente essa página no navegador do utilizador. O utilizador só via uma página aparentemente inofensiva. O roubo de dados já tinha acontecido nos bastidores.

Esta falha encaixa demasiado bem numa tendência recente: sistemas complexos de IA a quebrar a própria caixa de areia porque os próprios modelos ajudam a descascar as camadas de segurança. Aqui, cada resposta “não posso fazer isso” vinha com mais contexto sobre parâmetros internos, estruturas de URL e comportamento em cenários específicos. A linha entre “transparência” e “manual de exploração” ficou absurdamente fina.

A Microsoft mitigou silenciosamente o problema em fevereiro, três meses depois da revelação à empresa, bloqueando o uso de ?q= para injectar texto directamente no chatbot. Agora, o utilizador tem de escrever manualmente, o que também partiu integrações legítimas de terceiros que dependiam desse parâmetro. Esta semana surgiram correcções mais abrangentes, catalogadas como CVE-2026-24301. A lição é pouco confortável para quem está a enfiar copilots em tudo o que é produto empresarial: cada “atalho” escondido na UX pode ser uma porta traseira completa quando o próprio assistente decide explicar como funciona.

Para quem administra Microsoft 365 numa empresa portuguesa, isto não é um bug abstrato num serviço algures na cloud. É mais um lembrete de que não basta confiar no selo “IA com guardrails”. Tal como já vimos em casos de dados expostos por defeito em ferramentas populares, a fragilidade está muitas vezes nos detalhes de implementação mais banais: um parâmetro de URL esquecido, um comportamento automático pouco documentado, um modelo demasiado loquaz sobre a sua própria anatomia.

Fonte: Ars Technica