Vulnerabilidade Crítica de IA de Zero-Clique Descoberta no Microsoft 365 Copilot: EchoLeak

A Aim Labs descobriu uma vulnerabilidade crítica de IA de zero-clique, apelidada de "EchoLeak", no Microsoft 365 Copilot. Essa vulnerabilidade permite que atacantes exfiltrem automaticamente dados sensíveis do contexto do Copilot sem nenhuma interação do usuário. O ataque utiliza uma técnica nova chamada "Violação de Escopo de LLM", contornando as medidas de segurança do Copilot por meio de um email elaborado de forma inteligente. EchoLeak destaca os riscos de segurança inerentes a modelos de IA baseados em Geração Aumentada por Recuperação (RAG), enfatizando a necessidade de práticas robustas de segurança de IA.