EchoLeak : un seul courriel piégé pouvait faire fuiter des données internes de Microsoft 365 Copilot
Des chercheurs d’Aim Labs ont montré qu’un courriel contenant des instructions cachées, formulées comme si elles s’adressaient à un humain, pouvait amener Microsoft 365 Copilot à extraire des données sensibles du contexte de l’utilisateur et à les envoyer à un attaquant sans que l’utilisateur clique sur quoi que ce soit. La chaîne contournait le classificateur de Microsoft contre l’injection inter-prompts et le caviardage des liens, et abusait d’une URL Microsoft Teams autorisée par la politique de sécurité du contenu de Copilot. Microsoft lui a attribué le CVE-2025-32711, l’a jugée critique et l’a corrigée côté serveur, en affirmant n’avoir aucune preuve d’exploitation en conditions réelles.
Les chercheurs ont conçu l’attaque en janvier 2025 et l’ont signalée à Microsoft, qui l’a corrigée en mai avant la divulgation publique du 11 juin 2025. L’exfiltration reposait sur des images markdown que le navigateur récupère automatiquement, transportant les données dans l’URL.
Ce qui l’aurait évité
Traiter le contenu externe récupéré comme des données, jamais comme des instructions, et bloquer les requêtes générées par le modèle vers des hôtes non fiables.
Garde-fous
- G1 Moindre privilège Non évalué L’agent n’avait-il que les accès nécessaires à sa tâche ?
- G2 Validation humaine Défaillant La fuite n’exigeait aucune action de l’utilisateur ; des images récupérées automatiquement exfiltraient les données.
- G3 Isolement Partiel La politique de sécurité du contenu bloquait la plupart des domaines mais faisait confiance à une URL Microsoft Teams qui relayait les données.
- G4 Intégrité des instructions Défaillant Copilot a suivi des instructions d’un courriel externe après qu’elles ont échappé au classificateur XPIA.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Non évalué Une personne responsable pouvait-elle voir ce qu’il faisait et l’arrêter à temps ?
- G8 Réversibilité Non évalué Les dégâts pouvaient-ils être réparés ?
Sources
-
“The flaw, revealed today by AI security startup Aim Security and shared exclusively in advance with Fortune, is the first known “zero-click” attack on an AI agent, an AI that acts autonomously to achieve specific goals.”
-
“The tech giant assigned the CVE-2025-32711 identifier to the information disclosure flaw, rating it critical, and fixed it server-side in May, so no user action is required.”
-
“This paper presents an in-depth case study of EchoLeak (CVE-2025-32711), a zero-click prompt injection vulnerability in Microsoft 365 Copilot that enabled remote, unauthenticated data exfiltration via a single crafted email.”
L’indice de confiance de 84 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 3 sources