Cómo Investigadores Consiguieron que Microsoft Copilot Revelara Su Propia Vulnerabilidad de Seguridad

Un equipo de la empresa de ciberseguridad Varonis identificó una vulnerabilidad grave en Microsoft 365 Copilot Enterprise que permite la extracción no autorizada de información confidencial de usuarios. En lugar de realizar una evaluación de seguridad tradicional, los investigadores adoptaron una técnica innovadora: cuestionaron a Copilot sobre sus propios mecanismos de protección, obteniendo gradualmente respuestas que revelaron brechas en sus salvaguardas. Empleando un enfoque de cuestionamiento secuencial similar a la resolución de un rompecabezas, acumularon conocimiento sobre los mecanismos de seguridad diseñados para prevenir comportamientos no deseados del sistema. El avance ocurrió cuando el propio Copilot divulgó un parámetro oscuro de prompt previamente no revelado, capaz de eliminar la salvaguarda que normalmente exige autorización del usuario antes de ejecutar funciones críticas. Con este conocimiento, los actores de amenazas podrían potencialmente acceder a datos sensibles simplemente induciendo a los usuarios a hacer clic en un enlace especialmente elaborado.