Due società di sicurezza informatica hanno individuato separatamente più vulnerabilità in Microsoft 365 Copilot che avrebbero potuto consentire a un aggressore di sottrarre email, documenti e file archiviati negli ambienti cloud aziendali. Microsoft ha confermato l’esistenza dei problemi e ha corretto almeno la vulnerabilità segnalata da Rubrik, mentre i dettagli tecnici della seconda scoperta non sono stati divulgati e non è stato precisato se sia già stata risolta. Al momento non risultano prove di uno sfruttamento reale degli attacchi.
La vulnerabilità analizzata da Rubrik prevedeva l’impiego di un documento Word contenente istruzioni malevole nascoste. L’aggressore avrebbe dovuto convincere un dipendente a caricare il file in Copilot, apparentemente per riassumerlo o analizzarne il contenuto. Durante l’elaborazione, il sistema poteva interpretare le istruzioni incorporate nel documento come comandi da eseguire, anziché come semplice testo, e utilizzarle per accedere alle informazioni disponibili attraverso l’identità dell’utente. Il possibile obiettivo comprendeva messaggi di posta elettronica, documenti interni e file conservati nei servizi Microsoft 365.
L’attacco sfruttava quindi una forma di prompt injection indiretta: l’utente non impartiva personalmente il comando pericoloso, che veniva invece introdotto attraverso un contenuto esterno considerato attendibile dal sistema. Microsoft riconosce che documenti, email e altre fonti collegate a un agente possono manipolarne il piano operativo e indurlo a richiamare strumenti, consultare dati o compiere azioni non previste. Il rischio aumenta quando Copilot può operare con le autorizzazioni del dipendente e accedere a informazioni distribuite tra Outlook, SharePoint, OneDrive e gli altri servizi dell’organizzazione.
Una parte della catena di attacco riguardava l’ambiente sandbox utilizzato da Copilot per elaborare o eseguire in isolamento determinati contenuti. La separazione dalla rete esterna non sarebbe stata sufficiente a impedire al sistema di stabilire una comunicazione verso Internet, aprendo una possibile via per trasferire i dati raccolti a un server controllato dall’aggressore. Il documento malevolo avrebbe potuto quindi combinare l’accesso alle risorse interne con una connessione esterna, trasformando una normale richiesta di analisi in un canale di esfiltrazione. Rubrik ha comunicato il problema a Microsoft nel mese di aprile 2026 e la società ha successivamente dichiarato di averlo corretto.
L’attività poteva inoltre risultare difficile da distinguere dalle normali operazioni di Copilot, perché l’accesso ai file e alle email veniva effettuato attraverso i servizi e le autorizzazioni già disponibili all’utente. I ricercatori hanno osservato che una parte delle operazioni svolte nella sandbox avrebbe potuto non comparire chiaramente nei registri aziendali, rendendo più complessa l’individuazione tempestiva dell’incidente. Microsoft ha indicato Purview come strumento per controllare le attività di Copilot, senza chiarire se la registrazione comprendesse tutte le operazioni interne interessate dalla vulnerabilità.
Microsoft 365 Copilot applica i permessi già presenti nell’organizzazione e può accedere soltanto ai contenuti per i quali l’utente dispone di un’autorizzazione. Questa protezione limita l’estensione dell’attacco, ma rende importanti la corretta configurazione degli accessi e la riduzione dei documenti condivisi con un numero eccessivo di persone. Un account con accesso a grandi quantità di informazioni potrebbe infatti consentire a una prompt injection riuscita di raggiungere un insieme di dati molto più ampio rispetto a un’identità configurata secondo il principio del privilegio minimo.
La seconda vulnerabilità è stata scoperta da un’altra società di sicurezza con una ricerca indipendente. Le informazioni non sono state rese pubbliche per evitare di fornire indicazioni utilizzabili negli attacchi e non è stato confermato se Microsoft abbia già completato la relativa correzione. La presenza di più problemi individuati separatamente mostra comunque come l’elaborazione di documenti aziendali non attendibili rappresenti un punto sensibile per gli assistenti AI collegati a email, archivi cloud e strumenti operativi.