Reprompt è l'attacco invisibile su Microsoft Copilot: aggiornare subito!

I ricercatori di Varonis Threat Labs hanno identificato una possibile tipologia di attacco, battezzata Reprompt, a carico di Microsoft Copilot e che sfrutta tre tecniche principali per infiltrarsi nelle sessioni utente dell'assistente AI dell'azienda di Redmond. L'iniezione Parameter-to-Prompt (P2P) utilizza il parametro 'q' nell'URL per iniettare istruzioni malevole direttamente in Copilot, inducendolo a eseguire azioni senza che l'utente possa accorgersene. La tecnica double-request aggira le protezioni contro le fughe di dati, applicabili solo alla prima richiesta, ordinando a Copilot di ripetere le azioni due volte per superare i filtri.

La chain-request permette un flusso continuo di istruzioni dal server dell'attaccante, generando richieste successive basate sulle risposte precedenti e consentendo l'esfiltrazione stealth di informazioni come nome utente, posizione geografica, cronologia conversazioni e dati personali memorizzati. Tutto inizia con un link legittimo verso Copilot, ma contenenti nell'url quello che serve per condurre l'attacco: un clic attiva la sessione autenticata dell'utente, che persiste anche dopo la chiusura della scheda.

Copilot, integrato in Windows, Edge e applicazioni consumer, accede ai prompt utente, alla cronologia delle conversazioni e ai dati Microsoft personali in base al contesto e ai permessi autorizzati. Reprompt colpiva solo Copilot Personal, non la versione Microsoft 365 Copilot per imprese, protetta da controlli avanzati come audit Purview, DLP a livello tenant e restrizioni amministrative. Gli strumenti di sicurezza client-side non rilevano l'esfiltrazione, poiché le istruzioni reali arrivano dal server attaccante dopo il prompt iniziale, rendendo impossibile inferire i dati estratti dall'ispezione del link di partenza.

Varonis ha segnalato la vulnerabilità a Microsoft il 31 agosto 2025 adottando le consuete modalità di responsible disclosure. La correzione è stata distribuita tramite gli aggiornamenti del Patch Tuesday di gennaio 2026, e non risultano casi di sfruttamento in natura. Si raccomanda di applicare immediatamente l'ultimo aggiornamento di sicurezza Windows per eliminare ogni rischio residuo.