Varonis découvre le paramètre qui active Copilot en silence

Varonis a découvert une faille de Microsoft 365 Copilot pour entreprise après avoir interrogé directement l’assistant. Les chercheurs voulaient créer un exploit capable d’exfiltrer des données après un simple clic. Copilot refusait d’abord d’exécuter une telle demande sans confirmation utilisateur. Ses réponses ont toutefois révélé progressivement des détails sur ses mécanismes de sécurité. L’équipe a finalement obtenu un paramètre non documenté, nommé ?autorun=1. Combiné au paramètre connu ?q=, il permettait de déclencher silencieusement un prompt au chargement d’une URL. Ars Technica rapporte cette découverte dans son enquête publiée le 25 août 2026.

Les réponses de Copilot ont fourni les indices nécessaires à la construction de l’attaque, selon Lior Adar, chercheur senior chez Varonis. Les questions portaient sur l’exécution automatique, les structures d’URL et les liens profonds. Elles exploraient aussi le comportement d’une page chargée avec du texte déjà présent dans le champ de saisie. « Chaque refus révélait des détails techniques sur son architecture interne », a expliqué Adar à Ars. Les chercheurs ont ensuite utilisé les paramètres divulgués dans des prompts exécutés automatiquement. Le format employé associait https://copilot.microsoft.com/, ?q= et ?autorun=1. Cette combinaison contournait la demande de confirmation normalement exigée par Copilot.

Microsoft corrige l’injection par URL

L’attaque pouvait exfiltrer des informations depuis la session authentifiée de la victime. Un lien envoyé par courriel, messagerie, page d’hameçonnage ou code QR pouvait lancer la chaîne après un clic. Copilot traitait alors le prompt avec accès au contexte de session, aux applications connectées et à sa mémoire. Un exemple demandait de rechercher le dernier expéditeur d’un courriel, puis d’envoyer son adresse vers un serveur contrôlé par l’attaquant. Un autre prompt recherchait des mots de passe ou identifiants reçus dans la boîte de réception. Les données étaient ajoutées à une URL externe et converties en base64 pour dissimuler le transfert.

Microsoft a supprimé en février la possibilité pour ?q= d’injecter du texte dans la saisie du chatbot. Cette correction est intervenue trois mois après le signalement de Varonis. L’utilisateur devait désormais cliquer et taper manuellement, ce qui empêchait les intégrations de navigateur tierces d’utiliser le paramètre comme auparavant. Microsoft a présenté mardi des corrections plus complètes. Dans une déclaration, l’entreprise a remercié les chercheurs et affirmé que les clients étaient protégés sans action nécessaire de leur part. Elle a également indiqué mettre continuellement à jour ses mécanismes de sécurité contre des techniques similaires. La page de suivi Microsoft figure parmi les ressources associées.

Varonis documente aussi Co-Snitch

Une seconde attaque visait la mémoire permanente de Copilot. Cette mémoire conserve des informations, préférences et instructions utilisables lors de sessions ultérieures. Varonis a placé une injection dans les métadonnées d’une page web. Lorsque l’utilisateur demandait à Copilot de résumer cette page, l’assistant suivait les instructions cachées et modifiait sa mémoire. Selon l’entreprise de sécurité, cette technique pouvait transférer des résultats, filtrer des informations, orienter les réponses ou déclencher des actions sous conditions. Les fausses mémoires persistaient après des changements de mot de passe, des révocations de session et des réinscriptions d’appareil. Leur détection exigeait une inspection manuelle du contenu mémorisé.