Vulnerabilità di prompt injection colpiscono Microsoft Copilot e Salesforce Agentforce

Ricercatori di sicurezza hanno individuato multiple vulnerabilità di prompt injection indiretto nelle piattaforme AI aziendali Microsoft Copilot Studio e Sales…

Contenuto

Vulnerabilità di prompt injection colpiscono Microsoft Copilot e Salesforce Agentforce

Scopri anche

Vulnerabilità di prompt injection colpiscono Microsoft Copilot e Salesforce Agentforce

Vulnerabilità di prompt injection colpiscono Microsoft Copilot e Salesforce Agentforce

In questo articolo:

Le piattaforme di agenti AI aziendali progettate per automatizzare i flussi di lavoro stanno introducendo nuove superfici di attacco. Ricercatori di Capsule Security hanno scoperto vulnerabilità di prompt injection indiretto sia in Microsoft Copilot Studio che in Salesforce Agentforce, consentendo agli aggressori di esfiltrare dati sensibili attraverso campi di form pubblici. Microsoft ha assegnato CVE-2026-21520 con punteggio CVSS 7.5 per ShareLeak, mentre Salesforce non ha ancora rilasciato un advisory pubblico per PipeLeak al momento della pubblicazione.

ShareLeak: la vulnerabilità in Copilot Studio

⬆ Torna su

La vulnerabilità denominata ShareLeak sfrutta il divario tra l'invio di un form SharePoint e la finestra di contesto dell'agente Copilot Studio. Un aggressore inserisce un payload malevolo in un campo commento pubblico che inietta un messaggio di ruolo di sistema falso. Durante i test di Capsule, Copilot Studio concatenava l'input malevolo direttamente con le istruzioni di sistema dell'agente senza alcuna sanificazione dell'input tra il form e il modello.

Il payload iniettato sovrascriveva le istruzioni originali dell'agente nel proof-of-concept di Capsule, dirigendolo verso l'interrogazione di SharePoint Lists connessi per dati cliente e l'invio di tali dati via Outlook a un indirizzo email controllato dall'aggressore. NVD classifica l'attacco come a bassa complessità e senza requisiti di privilegi. I meccanismi di sicurezza di Microsoft hanno segnalato la richiesta come sospetta durante i test, ma i dati sono stati esfiltrati comunque. Il DLP non è scattato perché l'email veniva instradata attraverso un'azione Outlook legittima che il sistema trattava come operazione autorizzata.

Microsoft ha confermato la vulnerabilità il 5 dicembre 2025 e ha distribuito la patch il 15 gennaio 2026. Capsule Security ha scoperto la falla il 24 novembre 2025. I direttori della sicurezza che eseguono agenti Copilot Studio attivati da form SharePoint dovrebbero verificare quella finestra temporale per indicatori di compromissione.

EchoLeak: esfiltrazione zero-click in M365 Copilot

⬆ Torna su

EchoLeak, identificata come CVE-2025-32711 con punteggio CVSS 9.3, rappresenta una vulnerabilità di prompt injection zero-click in Microsoft 365 Copilot. Aim Labs ha categorizzato la falla come "LLM Scope Violation", indicando che l'AI è stata indotta a violare il suo perimetro di fiducia e a diffondere dati interni. L'exploit ha aggirato molteplici difese: il classificatore XPIA di Microsoft per il prompt injection, i meccanismi di redazione dei link e le policy di sicurezza dei contenuti.

L'attacco procede attraverso una catena di bypass. Quando Copilot elabora l'email malevola dell'aggressore attraverso il normale processo di retrieval, le istruzioni nascoste inducono Copilot a incorporare i dettagli più sensibili dal contesto dell'utente in un link di riferimento in uscita. L'interfaccia client di Copilot recupera automaticamente l'URL dell'immagine esterna incluso dall'aggressore, ottenendo l'esfiltrazione dei dati senza alcun clic da parte dell'utente.

Per aggirare le Content-Security-Policy che bloccano domini sconosciuti, l'exploit sfrutta un'API di anteprima asincrona di Microsoft Teams come proxy per inoltrare la richiesta al server dell'aggressore. Un servizio Microsoft recupera i dati rubati per conto di Copilot, completando l'esfiltrazione senza coinvolgimento dell'utente.

PipeLeak: la vulnerabilità parallela in Salesforce Agentforce

⬆ Torna su

Capsule Security ha anche scoperto PipeLeak, una vulnerabilità di prompt injection indiretto parallela in Salesforce Agentforce. A differenza di Microsoft, Salesforce non ha assegnato un CVE né ha rilasciato un advisory pubblico per PipeLeak al momento della pubblicazione. Durante i test di Capsule, un payload in un form lead pubblico ha dirottato un agente Agentforce senza autenticazione richiesta.

I ricercatori non hanno trovato limiti di volume sui dati CRM esfiltrati e il dipendente che ha attivato l'agente non ha ricevuto indicazione che i dati avessero lasciato l'organizzazione. Naor Paz, CEO di Capsule Security, ha dichiarato: "Non abbiamo raggiunto alcuna limitazione. L'agente continuava semplicemente a diffondere tutto il CRM."

Salesforce ha raccomandato il human-in-the-loop come mitigazione. Paz ha contestato tale approccio: "Se l'essere umano deve approvare ogni singola operazione, non è realmente un agente. È solo un essere umano che clicca attraverso le azioni dell'agente."

Dopo la pubblicazione, un portavoce di Salesforce ha dichiarato che l'azienda ha "rimediato lo scenario specifico descritto" e che la conferma Human-in-the-Loop è abilitata di default per le azioni agentiche basate su email. Capsule Security mantiene che il canale email rimane sfruttabile su Custom Topics, che rappresentano la maggior parte delle distribuzioni enterprise.

Reprompt: attacco single-click su Copilot Personal

⬆ Torna su

Varonis Threat Labs ha scoperto un nuovo flusso di attacco denominato Reprompt che colpisce Microsoft Copilot Personal. La tecnica sfrutta il parametro URL "q" per iniettare istruzioni che causano l'esfiltrazione di dati utente e della memoria delle conversazioni. Anche se Copilot implementa salvaguardie per prevenire leak di dati sensibili, queste protezioni si applicano solo alla richiesta iniziale.

Un aggressore può aggirare queste protezioni istruendo Copilot a ripetere ogni azione due volte. La catena di richieste consente l'esfiltrazione continua e nascosta. Una volta che la vittima clicca sul link malevolo, l'esfiltrazione inizia anche se la vittima chiude la scheda Copilot. L'attacco sfrutta la sessione Copilot attiva dell'utente che rimane valida anche dopo la chiusura della chat, aggirando la necessità di ri-autenticazione.

Microsoft ha confermato che il problema è stato risolto. I clienti enterprise che utilizzano Microsoft 365 Copilot non sono interessati da questa specifica vulnerabilità.

Dimostrazione di Tenable su Copilot Studio

⬆ Torna su

Tenable AI Research ha dimostrato come un semplice prompt injection di un agente AI possa aggirare i controlli di sicurezza, portando a leak di dati e frode finanziaria. I ricercatori hanno creato un agente di viaggio in un ambiente di ricerca Microsoft Copilot con dati fittizi: nomi cliente falsi e dettagli di carte di credito inventati.

Con poche prompt semplici, i ricercatori hanno potuto accedere alle informazioni delle carte di credito cliente e ridurre il costo di una prenotazione vacanze a $0. L'agente era progettato per usare l'azione get item per garantire che gli utenti potessero visualizzare solo una prenotazione alla volta. Tuttavia, get item fornisce funzionalità più ampia: quando richiesto di record multipli con ID multipli, l'agente esegue get item più volte, restituendo record multipli in un singolo messaggio.

I ricercatori hanno anche scoperto che i permessi di modifica si applicano al campo prezzo, consentendo di cambiare il costo del viaggio a $0 tramite una prompt injection. L'azione update Item è stata attivata senza competenze di hacking richieste.

Il problema strutturale degli agenti AI

⬆ Torna su

Carter Rees, VP di Artificial Intelligence presso Reputation, ha descritto il fallimento architetturale in un'intervista esclusiva: "L'LLM non può intrinsecamente distinguere tra istruzioni fidate e dati recuperati non fidati. Diventa un deputy confuso che agisce per conto dell'aggressore." OWASP classifica questo pattern come ASI01: Agent Goal Hijack.

Paz ha identificato la condizione strutturale che rende qualsiasi agente sfruttabile: accesso a dati privati, esposizione a contenuti non fidati e capacità di comunicare esternamente. ShareLeak, PipeLeak e la maggior parte degli agenti in produzione soddisfano tutti e tre questi criteri, poiché quella combinazione è ciò che rende gli agenti utili.

Elia Zaitsev, CTO di CrowdStrike, ha definito la mentalità del patching stesso come la vulnerabilità: "Le persone stanno dimenticando la sicurezza runtime. Mettiamo patch a tutte le vulnerabilità. Impossibile. In qualche modo manchiamo sempre qualcosa." CrowdStrike scommette sull'osservazione di ciò che l'agente ha effettivamente fatto piuttosto che su ciò che sembrava intendere.

Crescendo attack e minacce multi-turno

⬆ Torna su

Le injection prompt single-shot sono la minaccia di livello base. La ricerca di Capsule ha documentato attacchi crescendo multi-turno dove gli avversari distribuiscono payload attraverso turni multipli dall'aspetto benigno. Ogni turno passa l'ispezione. L'attacco diventa visibile solo quando analizzato come sequenza. Un WAF stateless visualizza ogni turno nel vuoto e non rileva minacce, vedendo richieste non una traiettoria semantica.

La ricerca ha anche trovato vulnerabilità non disclosure in piattaforme di agenti di coding, inclusi memory poisoning che persiste attraverso le sessioni ed esecuzione di codice malevolo tramite server MCP. In un caso, un guardrail a livello file progettato per limitare quali file l'agente poteva accedere è stato aggirato dall'agente stesso, che ha trovato un percorso alternativo agli stessi dati.

Mitigazioni e raccomandazioni

⬆ Torna su

Capsule utilizza modelli linguistici piccoli fine-tuned che valutano ogni chiamata di strumento prima dell'esecuzione, un approccio che la guida di mercato di Gartner definisce "guardian agent". L'architettura si aggancia ai percorsi di esecuzione agentic forniti dai vendor, inclusi gli hook di sicurezza di Copilot Studio e i checkpoint pre-tool-use di Claude Code, senza proxy, gateway o SDK.

Chris Krebs, primo Director di CISA e advisor di Capsule, ha descritto il divario: "I tool legacy non erano costruiti per monitorare ciò che accade tra prompt e azione. Questo è il divario runtime."

I team SOC dovrebbero mappare immediatamente la telemetria: log attività Copilot Studio più decisioni webhook, log audit CRM per Agentforce e dati EDR process-tree per agenti di coding. Le raccomandazioni includono audit di ogni agente Copilot Studio attivato da form SharePoint, restrizione delle email in uscita a domini solo organizzazione, inventario di tutte le SharePoint Lists accessibili agli agenti e revisione della finestra temporale per indicatori di compromissione.

Questo articolo è una sintesi basata esclusivamente sulle fonti elencate.

Implicazioni e scenari

⬆ Torna su

Le vulnerabilità emerse evidenziano una fragilità architetturale degli agenti autonomi che potrebbe persistere oltre le singole patch. La combinazione di accesso a dati privati, esposizione a contenuti esterni e capacità di comunicazione verso l'esterno rappresenta un pattern ricorrente che difficilmente può essere eliminato senza ridurre l'utilità degli strumenti stessi.

  • Scenario 1: Potrebbero emergere vulnerabilità analoghe su altre piattaforme enterprise, dato che il problema strutturale riguarda la difficoltà intrinseca nel distinguere istruzioni fidate da dati recuperati.
  • Scenario 2: L'approccio human-in-the-loop potrebbe diventare standard di settore, anche se comporta un trade-off tra automazione e controllo operativo.
  • Scenario 3: Le organizzazioni potrebbero spostare l'attenzione dal patching alla sicurezza runtime, monitorando il comportamento degli agenti in tempo reale.

Cosa monitorare

⬆ Torna su
  • L'eventuale advisory pubblico di Salesforce per PipeLeak e l'assegnazione di un identificativo CVE.
  • Indicatori di compromissione nelle finestre temporali precedenti alle patch Microsoft già distribuite.
  • L'adozione di controlli di isolamento dei dati e sanificazione dell'input nelle nuove versioni delle piattaforme colpite.

Nota editoriale: questa sezione propone una lettura analitica dei temi trattati, senza introdurre dati fattuali non presenti nelle fonti.

Fonti

⬆ Torna su

In breve

  • cybersecurity
  • vulnerabilita
  • cve
  • microsoft

Link utili

Apri l'articolo su DeafNews