微软 Copilot 漏洞可泄露 2FA 验证码等敏感数据

微软 Microsoft 365 Copilot 企业版曝出高危漏洞，攻击者可借此获取用户敏感信息。该漏洞由网络安全公司 Varonis Threat Labs 发现，编号 CVE-2026-42824，被命名为 SearchLeak。

该漏洞是一个三阶段攻击链：攻击者将恶意参数嵌入合法 URL，用户点击后，Copilot 的 AI 引擎会将其解读为搜索指令，执行如“搜索用户邮件”等操作。随后，Copilot 将 2FA 验证码、邮件主题、会议邀请、OneDrive 文件内容等敏感数据嵌入图片 URL，通过必应外传。

研究员 Dolev Taler 指出，该漏洞利用 AI 对自然语言指令的“轻信”绕过常规检测，影响范围包括企业内所有已索引内容。微软已发布补丁，并称暂无证据表明该漏洞已被实际利用。