Copilot SearchLeak-sårbarhetskjeden viser hvordan enhver AI-assistent kan utvikle seg fra en produktivitetsfunksjon til en ny vei inn i data som arver brukerens rekkevidde. Hvilke lærdommer kan sikkerhets- og samsvarsledere lære av dem?

I juni, forskere ved Varonis Threat Labs avduket en kritisk sårbarhetskjede i Microsoft 365 Copilot Enterprise kalt «SearchLeak». Sporet som CVE-2026-42824, kunne angripere bruke feilen til å stjele sensitive data – inkludert e-poster, flerfaktorautentiseringskoder (MFA) og indekserte filer – med et enkelt klikk.

SearchLeak ble raskt fikset av Microsoft før det ble utnyttet i noen virkelige angrep. Likevel har Copilot-problemet vist hvordan enhver AI-assistent kan utvikle seg fra en produktivitetsfunksjon til en ny vei inn i data som arver brukerens rekkevidde.

Hvilke lærdommer kan ledere innen sikkerhet og samsvar lære av seg?

Ett klikk, ingen skadelig programvare

SearchLeak-feilen viser at enhver tilkoblet AI-assistent bare er så innesluttet som tillatelsene til personen som kjører den. Når den blir lurt, kan den nå og lekke hva som helst en bruker kan.

SearchLeak kombinerer en relativt ny klasse av AI-spesifikke sårbarheter kjent som parameter-til-rask injeksjon med to klassiske nettsikkerhetsfeil: En HTML-injeksjonsfeil i kappløpstilstand og en forfalskning av forespørsler på serversiden utgave.

«Individuelt kan hver sårbarhet virke håndterbar», skrev sikkerhetsforsker Dolev Taler i en blog«Sammenkoblet gir de en angriper muligheten til å i stillhet hente ut e-poster, sikkerhetskoder og annet sensitivt innhold fra offerets postkasse, kalender, SharePoint og OneDrive – alt med ett klikk på en intetanende lenke.»

Eksperter sier at SearchLeak-problemet var bekymringsverdig på grunn av enkelheten. «Ett klikk, ingen skadelig programvare, ingen stjålne påloggingsinformasjon», kommenterer Tim Freestone, strategidirektør i Kiteworks. «Copilot leste det som sto i URL-en som en instruksjon, fant e-postene eller MFA-kodene og sendte dem ut via en bildetagg som ble gjengitt til Bing før svaret i det hele tatt var ferdig lastet inn.»

Risikoer knyttet til datastyring

SearchLeak fremhever risikoene knyttet til datastyring knyttet til kunstig intelligens. Mange organisasjoner mangler fortsatt en omfattende forståelse av hvem som har tilgang til sensitiv informasjon, hvor bredt denne informasjonen deles, eller hvordan tillatelser kombineres på tvers av ulike forretningssystemer.

Problemet handlet ikke engang om for omfattende tillatelser: Copilot fikk bare tilgang til det brukeren allerede hadde tilgang til, sier Tristan Shortland, teknisk direktør i Infinity Group. «Problemet er hvordan denne tilgangen kan utløses og automatiseres. Selv veldefinerte tillatelser kan utnyttes hvis kontrolllagene rundt AI er svake.»

AI får fragmenterte tillatelser til å «oppføre seg som en enkelt tillatelsesmodell», forteller Jared Atkinson, teknologidirektør i SpecterOps IO«En bruker kan ha tilsynelatende ufarlig tilgang til Outlook, Teams, SharePoint, GitHub, Salesforce, ServiceNow og skyplattformer individuelt. Når en AI-assistent kan resonnere på tvers av alle disse, kan kombinasjonen avsløre betydelig mer enn noen enkelt applikasjon alene.»

Etter hvert som organisasjoner tar i bruk kunstig intelligens, handler datastyring mindre om hvor informasjon lagres, og mer om å forstå identitetene og tillatelsesforholdene som gjør at den kan kombineres, sier Atkinson.

AI eliminerer «sikkerhet gjennom obskuritet» som mange organisasjoner utilsiktet stoler på, sier Dray Agha, seniorleder for sikkerhetsoperasjoner hos Huntress. «Uten streng datastyring gjør AI-verktøy det trivielt enkelt for ansatte – eller kompromitterte kontoer – å umiddelbart finne og oppsummere sensitiv informasjon som tidligere var skjult i den rene støyen og volumet i bedriftsnettverk.»

Voksende angrepsflate

Etter hvert som agenter spenner over flere apper, vokser angrepsflaten på grunn av økende antall datakilder, handlinger og komplekse kjeder. Med dette i tankene spår Infinity Groups Shortland at det i fremtiden vil være færre enkeltstående «store» sårbarheter og «flere flertrinnsangrep på tvers av AI, identitet og API-er».

Dagens AI-assistenter henter informasjon. Den neste generasjonen AI-agenter vil «utføre arbeid på tvers av flere forretningsapplikasjoner, koordinere handlinger i e-post, kildekodelagre, skyplattformer, billettsystemer, CRM-plattformer, identitetsleverandører og andre bedriftstjenester», sier Atkinson fra SpecterOps.

Denne autonomien vil føre til bredere bruk av delegert myndighet, sier han. «Agenter vil motta delegert legitimasjon, tjenesteidentiteter eller applikasjonsspesifikke tillatelser som lar dem utføre handlinger brukeren ikke kunne utføre direkte. Dette vil skape nye muligheter for utilsiktet dataeksponering, privilegieeskalering eller misbruk, hvis delegerte tillatelser ikke styres nøye.»

Gjenvinn kontroll

Ettersom AI-agenter fortsetter å utgjøre en risiko for bedrifter, kan sikkerhets- og samsvarsledere ta noen enkle grep for å ta tilbake kontrollen og begrense eksplosjonsradiusen hvis lignende problemer som SearchLeak oppstår.

Det er viktig å merke seg at det ikke vil fungere å bare blokkere tilgang. «Forbud driver bare bruken til kontoer utenfor bedriften, der du har enda mindre synlighet», sier Freestone fra Kiteworks.

I stedet for å trekke seg tilbake på AI, anbefaler Shortland fra Infinity Group å behandle teknologien «som et abstraksjonslag med høye privilegier».

«I praksis betyr det streng avgrensning av hva Copilot kan indeksere og hente: Ikke bare brukertillatelser, men også omfanget av AI-henting.»

Shortland anbefaler også segmentering av sensitive datakilder. «Ikke anta at alt må kunne oppdages via Graph.»

I mellomtiden kan bedrifter overvåke uvanlige hentemønstre og redusere implisitt tillit til interne domener, råder han. «SearchLeak fungerte fordi lenken så legitim ut. Kort sagt: Anta at AI vil bli lurt på et tidspunkt, og design rundt det.»

Styring av AI-tilgang

Som SearchLeak-problemet viser, kan man ikke gjøre en AI-assistent uutviklet, så den viktigste kontrollen er å begrense hva den kan nå. Synlighet er et viktig trinn.

Sikkerhetsledere bør kartlegge hvor AI-agenter er utplassert, forstå hvilke identiteter de opererer som, og identifisere eventuelle delegerte legitimasjonsopplysninger eller tjenesteidentiteter de mottar, sier Atkinson fra SpecterOps. «Menneskelige brukere, tjenestekontoer, applikasjonsidentiteter og AI-agenter bør alle evalueres som en del av det samme identitetsøkosystemet.»

Samtidig som ISO 27001 ble ikke skrevet for AI, kontrollene «kartlegges direkte på SearchLeak-angrepskjeden», ifølge Kiteworks' Freestone. For eksempel, Vedlegg A.9 adgangskontroll ville ha undersøkt hva Copilot kunne nå.A.12.4 logging og overvåking ville ha gjort eksfiltreringsforsøket synlig i sanntid», påpeker han. «Og A.8.2 informasjonsklassifisering ville ha hindret regulert innhold i å krysse en regulert grense.»

Standarden gir kontrollene, men mangler rammeverket for å bestemme hva AI-systemer har lov til å gjøre i utgangspunktet, forklarer han. Det er der ISO 42001, den internasjonale standarden for AI-styringssystemer, kommer inn.

Dette krever konsekvensutredninger før utrulling, menneskelige tilsynsmekanismer og eksplisitt behandling av AI-spesifikke risikoer, inkludert umiddelbar manipulering og utilsiktet modellatferd.

«Dette er den nøyaktige trusselklassen SearchLeak representerer», sier Freestone. «ISO 27001 dekker sikkerhetskontrollene og revisjonsbevisene. ISO 42001 dekker styringsbeslutningene som ligger oppstrøms i forhold til disse kontrollene. Regulatorer begynner å forvente begge deler.»

Utvid din kunnskap

Guide: Sikring av AI-angrepsflaten

Blogg: Anthropics suspensjon er en vekker for risikoen ved leverandør av kunstig intelligens

Blogg: Cyberrisikostyring er fragmentert. Slik fikser du det.