Microsoft Copilot Cowork: exfiltração de documentos via injeção de prompt
Técnicas e Métodos de Ataque2026-10-14, 11:04
A PromptArmor demonstrou um ataque de exfiltração de arquivos usando uma skill envenenada — um arquivo contendo instruções para um agente de IA.
A vítima carregou a skill e pediu ao Copilot Cowork para resumir seu trabalho da semana. As instruções maliciosas manipularam o agente para pesquisar documentos no SharePoint e no OneDrive e recuperar links de download pré-autenticados, que permitem baixar arquivos sem autenticação adicional.
O Copilot então enviou ao usuário uma mensagem do Teams contendo referências de imagens externas. Os links de download dos documentos foram incorporados nas URLs das imagens. Quando o usuário abriu a mensagem, o Teams carregou as imagens, enviando essas URLs para um servidor controlado pelo atacante.
Resultado: a cadeia de ataque completa teve sucesso em 5 de 5 tentativas. Enviar uma mensagem do Teams ao usuário ativo não exigia aprovação, mas o usuário ainda precisava abrir a mensagem para acionar a exfiltração.
O agente agiu usando as permissões legítimas do usuário enquanto seguia instruções de uma fonte não confiável. Injeções semelhantes poderiam potencialmente originar-se de conteúdo da web ou de servidores MCP conectados.
Fornecedor
Produto