Falha Crítica no Microsoft Copilot: O que a Injeção de Prompt nos Ensina Sobre Segurança

O limite entre instrução e dado: a lição do SearchLeak

Na última terça-feira, a Microsoft corrigiu uma vulnerabilidade classificada como 'máxima crítica' em sua plataforma M365 Copilot. Pesquisadores de segurança demonstraram que era possível extrair códigos de autenticação de dois fatores (2FA) e outros dados confidenciais diretamente de e-mails acessíveis pelo assistente de IA. O problema, batizado de SearchLeak, ilustra a dificuldade fundamental da indústria em conter comportamentos inesperados de LLMs.

O ponto central dessa falha é o que chamamos de 'credulidade incurável' dos modelos atuais: a incapacidade técnica de distinguir entre uma instrução legítima do usuário e comandos maliciosos embutidos em conteúdos de terceiros — como e-mails ou documentos que o Copilot está processando. É um desafio que vai além do uso estratégico da IA na operação e toca diretamente na integridade dos seus dados corporativos.

Como o ataque superou as barreiras de segurança

Para contornar as proteções (guardrails) que impedem o Copilot de enviar formulários ou dados externos, os pesquisadores utilizaram uma técnica de Parameter-to-Prompt Injection. Ao enviar um e-mail contendo uma URL específica com um comando malicioso no parâmetro de consulta, o atacante forçava o Copilot a ler e-mails do usuário e extrair informações para uma imagem externa.

O exploit aproveitou uma janela de tempo específica: antes da aplicação das proteções finais de renderização, o Copilot gerava HTML bruto. Isso permitia que uma tag <img> disparasse uma requisição HTTP para um servidor controlado pelo atacante antes que o sistema pudesse 'embrulhar' a resposta em blocos de texto seguro. A própria infraestrutura do Bing, permitida pelas políticas do Copilot, serviu como trampolim para exfiltrar esses dados.

O que muda na rotina de quem opera com IA

Embora a Microsoft tenha aplicado correções, o cenário de risco persiste. O problema não é apenas o software, mas a arquitetura de como as IAs interagem com dados privados. Para times de tecnologia e operações, o SearchLeak reforça algumas lições práticas:

• Entenda o raio de ação: IAs integradas a suítes de produtividade têm acesso a e-mails, notas e arquivos. O impacto de uma falha é, portanto, corporativo, não apenas individual.
• Ceticismo com automações: Assim como discutimos sobre o custo oculto da IA e o tempo gasto em botsitting, a vigilância sobre o que a IA pode acessar e processar deve ser parte do seu checklist de segurança.
• Limitações das guardrails: Confiar cegamente nas proteções nativas de plataformas SaaS é um erro. A segurança deve ser tratada como uma camada adicional, não como um recurso inerente ao modelo.

Não há solução mágica para impedir que LLMs sejam manipulados, pois a natureza da injeção de prompt é inerente ao processamento de linguagem natural. A segurança, portanto, migra para a gestão de acessos e a segmentação de informações que alimentam essas ferramentas.

Para times que ainda gerenciam suas operações e fluxos de dados de forma fragmentada, plataformas como o Orqueza ajudam a centralizar o controle, permitindo uma visão clara do que entra e sai da sua operação sem depender exclusivamente de automações de terceiros que ainda carecem de maturidade em segurança.

Fonte: arstechnica.com