كشف الباحث الأمني آدم لوغ عن ثغرة معقدة في Microsoft 365 Copilot تمكن المهاجمين من سرقة بيانات حساسة من المؤسسات، بما في ذلك محتوى البريد الإلكتروني الحديث، من خلال هجمات حقن الأوامر غير المباشرة. وتستغل الثغرة تكامل المساعد الذكي مع مستندات Office ودعمه المدمج لرسوم Mermaid لتسريب بيانات دون أي تفاعل مباشر من المستخدم سوى النقر الأول على الملف.
وتبدأ الهجمة عندما يطلب المستخدم من Copilot تلخيص جدول Excel معدل بطريقة خبيثة. تكون التعليمات الخفية مزروعة داخل خلايا متعددة بخط أبيض غير مرئي، وتستخدم أوامر متداخلة لتعديل سلوك الذكاء الاصطناعي تدريجياً. تعيد هذه الأوامر توجيه Copilot لتفعيل أداة البحث في البريد الإلكتروني الداخلي search_enterprise_emails، لاسترجاع أحدث رسائل البريد الخاصة بالمؤسسة، ثم تحول المحتوى إلى صيغة مشفرة بنظام Hex وتقسم إلى أجزاء قصيرة لتجاوز قيود الحروف في Mermaid.
استغلال الرسوم التوضيحية لإخفاء عملية التسريب
ينشئ Copilot رسماً بيانياً باستخدام Mermaid يشبه زر تسجيل دخول مزيناً برمز القفل لتضليل المستخدم. ويتضمن الرسم تنسيق CSS يمنحه مظهراً واقعياً مع رابط مخفي يحوي البيانات المشفرة. وعند نقر المستخدم على الزر المزيف معتقداً أنه ضروري للوصول إلى المحتوى، يتم إرسال الرابط إلى خادم المهاجم حيث تسجل الحمولة وتفك شيفرتها لاحقاً من السجلات.
ويعد هذا النوع من الهجمات بالغ الخطورة لأن أوامر الحقن لا تدرج مباشرة في المحادثة مع الذكاء الاصطناعي، بل تخفى داخل ملفات عادية مثل Excel أو PDF، ما يجعلها مثالية لهجمات التصيد المتقدمة. وأشار لوغ إلى تشابه هذه التقنية مع ثغرة سابقة في منصة Cursor IDE استخدمها المهاجمون لسرقة بيانات دون أي نقر، إلا أن استغلال Copilot تطلب تفاعلاً بسيطاً من المستخدم.
وأوضح الباحث أن تصميم الحمولة استند إلى دراسات مايكروسوفت السابقة حول TaskTracker الخاصة باكتشاف انحراف المهام في نماذج اللغة الكبيرة. وبعد سلسلة من الاختبارات، أكدت مايكروسوفت صحة الثغرة وقامت بإصلاحها بحلول سبتمبر 2025 عبر إزالة خاصية الروابط التفاعلية من الرسوم التي يولدها Copilot باستخدام Mermaid.
ويظهر تسلسل الاكتشاف أن التنسيق كان معقداً بين الطرفين. فقد أبلغ لوغ فريق Microsoft Security Response Center في 15 أغسطس 2025 خلال مؤتمر DEFCON، وأرسل لاحقاً أدلة مرئية تثبت الاستغلال. وبعد التحقق في 8 سبتمبر، أصدرت مايكروسوفت الإصلاح النهائي في 26 سبتمبر. ومع ذلك، لم يحصل الباحث على مكافأة مالية لأن Copilot لم يكن مشمولاً في برنامج المكافآت آنذاك.
وتبرز هذه الحادثة مخاطر دمج أدوات الذكاء الاصطناعي في بيئات المؤسسات الحساسة، حيث يمكن للهجمات غير المباشرة استغلال آليات الوصول الداخلي أو واجهات برمجة التطبيقات. وشددت مايكروسوفت على استمرار تنفيذ إجراءات التخفيف، بينما دعا الخبراء المستخدمين إلى التحقق من مصدر الملفات ومراقبة مخرجات Copilot بعناية.
