Microsoft Copilot Cowork Exfiltrates Files
Компания PromptArmor обнаружила уязвимость в Microsoft Copilot Cowork, позволяющую злоумышленникам похищать файлы пользователей. Агенты Copilot Cowork могли отправлять письма на почту пользователя без подтверждения, а эти сообщения отображались с внешними изображениями, способными инициировать сетевые запросы к сторонним серверам. Через такой механизм данные могли утекать к атакующему при открытии скомпрометированного письма. Поскольку OneDrive умеет создавать предаутентифицированные ссылки для скачивания, успешная инъекция промпта позволяла перехватить эти ссылки и скачать файлы жертвы. Simon Willison отмечает, что главной проблемой при проектировании агентных систем по-прежнему остаётся защита от утечки данных.
26th May 2026 - Link Blog
Microsoft Copilot Cowork Exfiltrates Files (via) The biggest challenge in designing agentic systems continues to be preventing them from enabling attackers to exfiltrate data.
In this case Microsoft Copilot Cowork (yes, that's a real product name) was allowing agents to send emails to the user's own inbox without approval... but those messages were then displayed in a way that could leak data to an attacker via rendered images:
Because these messages can contain external images that trigger network requests to external websites, data can be exfiltrated when a user opens a compromised message sent by the agent.
Since OneDrive can create pre-authenticated download links, a successful prompt injection could cause those links to be leaked, allowing files to be downloaded by the attacker.
Recent articles
This is a link post by Simon Willison, posted on 26th May 2026.
Monthly briefing
Sponsor me for $10/month and get a curated email digest of the month's most important LLM developments.
Pay me to send you less!