Copilot : Microsoft victime d’une première faille de sécurité

Une faille critique baptisée EchoLeak a été découverte dans Microsoft 365 Copilot, permettant l’exfiltration de données sensibles sans aucune interaction de l’utilisateur. Classée CVE-2025-32711 avec un score CVSS de 9.3, cette vulnérabilité zero-click exploitait les mécanismes internes des modèles de langage génératifs. Les chercheurs d’Aim Security ont démontré comment un simple email malveillant pouvait contourner toutes les protections pour siphonner des documents Outlook, OneDrive et SharePoint.

EchoLeak : quand l’IA devient un vecteur d’attaque

Les assistants IA comme Copilot reposent sur une architecture RAG (Retrieval-Augmented Generation) qui interroge des bases de données internes pour fournir des réponses contextuelles. C’est précisément ce mécanisme qu’EchoLeak a exploité. Contrairement aux attaques traditionnelles visant les pare-feux ou les mots de passe, cette faille s’attaque à la logique même du modèle linguistique.

Les implications sont graves :

• Pas besoin de cliquer sur un lien ou d’ouvrir une pièce jointe
• Exfiltration possible de données marquées comme confidentielles
• Contournement des politiques DLP (Data Loss Prevention)
• Exploitation via des plateformes Microsoft légitimes comme SharePoint

Microsoft a réagi rapidement avec un correctif serveur en juin 2025, mais l’épisode rappelle que les technologies génératives introduisent de nouveaux risques en cybersécurité.

Le mécanisme d’exploitation en quatre étapes

L’équipe d’Aim Security a documenté une attaque en chaîne particulièrement sophistiquée. Voici comment des pirates pouvaient siphonner des données sans éveiller les soupçons :

1. Injection de prompt camouflée

Un email apparemment anodin contenait des instructions cachées pour Copilot, soigneusement formulées pour éviter les détections XPIA (Cross-Prompt Injection Attacks). Aucun terme comme « IA » ou « commande » n’était utilisé, ce qui trompait les filtres de sécurité.

2. Génération de liens malveillants

Copilot était manipulé pour créer des liens Markdown référençant des domaines externes. Ces liens échappaient aux contrôles de sécurité car le modèle ne les identifiait pas comme menaçants.

3. Contournement des protections d’images

Plutôt que de compter sur un clic utilisateur, l’attaque forçait le chargement automatique d’images Markdown. La particularité? Ces images pointaient vers des serveurs contrôlés par les attaquants.

4. Exploitation des whitelists Microsoft

Le coup de génie : utiliser SharePoint comme relais. Comme cette plateforme était autorisée dans les politiques CSP (Content Security Policy), les données volées transitaient via une infrastructure légitime.

Les leçons à retenir pour les administrateurs

Cette faille démontre que les services numériques modernes nécessitent une approche révisée de la sécurité. Plusieurs mesures s’imposent :

• Auditer les permissions des comptes SharePoint
• Restreindre Copilot aux seuls échanges internes
• Mettre à jour les politiques DLP pour inclure les sorties IA
• Surveiller les requêtes API inhabituelles vers les LLM

Microsoft recommande désormais de désactiver le traitement des emails externes par Copilot dans les environnements sensibles. Une précaution élémentaire, mais qui aurait pu éviter bien des soucis.

L’avenir des assistants IA en entreprise

EchoLeak marque un tournant dans la sécurité informatique des outils génératifs. Les entreprises doivent maintenant considérer que :

• Les LLM introduisent de nouveaux vecteurs d’attaque
• Les politiques de sécurité classiques sont insuffisantes
• La formation des utilisateurs ne suffit pas contre les zero-click
• L’audit des modèles IA doit devenir systématique

Les éditeurs devront probablement développer des solutions dédiées pour sécuriser ces nouvelles interfaces homme-machine. En attendant, le principe de moindre privilège reste la meilleure parade.

Microsoft face aux défis de l’IA sécurisée

L’épisode EchoLeak montre les limites du développement rapide des fonctionnalités IA. Microsoft a réagi correctement, mais des questions persistent :

• Pourquoi les tests de sécurité n’ont-ils pas détecté cette faille?
• Comment améliorer la résilience des modèles aux injections?
• Faut-il isoler les LLM des données critiques?

Une chose est sûre : l’ère des assistants IA impose une nouvelle approche de la cybersécurité, où chaque interaction doit être considérée comme potentiellement hostile. Les vieilles recettes ne suffiront plus.