初めて発見されたゼロクリックAIエクスプロイト：Microsoft 365 Copilotの「EchoLeak」脆弱性

AIM Securityのセキュリティ研究者は、「EchoLeak」と呼ばれる深刻なゼロクリック脆弱性を明らかにしました。この脆弱性はAI搭載のMicrosoft 365 Copilotを標的としており、サイバー犯罪者は巧妙に作成されたメールを送信するだけで、ユーザーの組織環境から個人データを盗み出すことができます。

AIM Securityは今週公開されたレポートで、これがMicrosoft 365 Copilotのような主要なアプリケーションに影響を及ぼす初めての「ゼロクリック」AIエクスプロイトであると述べています。つまり、攻撃を成功させるためにユーザーが何らかのアクションを取る必要がないということです。

「このチェーンにより、攻撃者はユーザーに知られることなく、また被害者の特定の行動に頼ることなく、M365 Copilot のコンテキストから機密情報や独自情報を自動的に盗み出すことができます」と AIM Security は説明しています。

これは、研究者が「LLMスコープ違反」と呼ぶものによって可能になります。簡単に言えば、この脆弱性は、OpenAIのGPTモデルに基づくCopilotの基盤となるAIを欺き、一見普通のメールに隠された悪意のある指示を読み取ってユーザーの個人情報を抜き取らせます。

攻撃の仕組み

研究者らは、マイクロソフトの既存の保護を回避する詳細な複数部構成の攻撃チェーンを明らかにした。

• XPIAバイパス： Microsoftは、悪意のあるメッセージを識別するために、XPIA分類子と呼ばれるフィルターを使用しています。しかし、攻撃者は、AIではなく人間を対象としているように聞こえる平易で技術的な表現を使わないメールを作成することで、これらの保護を回避します。
• リンク編集の回避：通常、外部ウェブサイトへのリンクは削除されますが、AIM Securityは、編集を回避するMarkdownリンクトリックを発見しました。これらのリンクは、URLに機密情報を送り返します。
• 画像トリック: Copilot は、自動ブラウザ リクエストをトリガーする画像リンクを生成するように仕向けられ、ユーザーがクリックしなくてもデータが攻撃者に送信される可能性があります。
• Microsoft サービス経由の CSP バイパス: Microsoft では外部の画像をブロックするためのセキュリティ ルールを導入していますが、攻撃者は許可されたドメインである Microsoft Teams と SharePoint を介してデータをルーティングする方法を見つけています。

研究者らはまた、「RAGスプレー」と呼ばれる手法を用いて攻撃者が成功率を高める方法を発見しました。攻撃者は1通のメールを送信する代わりに、以下のいずれかの方法で攻撃を行います。

• 少しずつ文言を変えた短いメールをたくさん送る、または
• 特別に作成された非常に長い電子メールを 1 通送信し、AI システムによって小さなチャンクに分割します。

これにより、AI は通常の使用中に悪意のあるメッセージをより頻繁に取得するようになります。