2026 年 8 月 18 日，安全研究公司 Varonis 公開了一項令人震驚的發現：他們透過直接詢問 Microsoft 365 Copilot 自身，成功挖掘出一個未公開的秘密參數 ?autorun=1，可完全繞過 Copilot 的用戶確認機制。當目標用戶點擊一個精心構造的連結時，Copilot 會自動執行指令，無需任何用戶手動確認，從而竊取郵箱中的密碼與敏感資訊。
一場 20 問遊戲
Varonis 高級研究員 Lior Adar 描述這個過程如同一場「20 問遊戲」。研究人員知道他們想建立一個無需用戶確認即可執行資料外洩的漏洞，但 Copilot 最初每次都拒絕執行，並指出敏感操作需要用戶明確同意（如按下 Enter 鍵）。
然而，每一次拒絕都透露了內部架構的技術細節。研究人員持續追問：
- 為什麼無法自動執行？
- 涉及哪些 URL 結構和深層連結？
- 當頁面載入時提示欄已有輸入會發生什麼？
最終，Copilot 在回答中吐露了一個 Microsoft 視為商業機密的資訊——一個未公開的 prompt 參數 ?autorun=1。
漏洞利用方式
攻擊者可以構造如下格式的惡意 URL：
https://copilot.microsoft.com/?q=&autorun=1當目標用戶點擊此連結時，?q= 參數中嵌入的指令會在用戶沒有按下任何確認鍵的情況下自動執行。Varonis 展示的攻擊指令包括：
- 搜尋用戶收件匣，提取最新郵件的寄件者信箱
- 將資料存入變數，構造包含該資料的 URL
- 讓 Copilot 自動開啟該 URL，將資料外洩至攻擊者控制的伺服器
- 所有資料以 Base64 編碼隱藏，避免引起懷疑
不只是資料外洩：永久記憶投毒
Varonis 還展示了另一種攻擊手法——永久記憶投毒。攻擊者將惡意指令嵌入網頁元資料中，當用戶要求 Copilot 摘要該頁面時，Copilot 會遵循隱藏的指令，修改其永久記憶儲存（Permanent Memory Store），該儲存保存用戶的偏好設定與個人資訊，並在未來會話中持續生效。
這種攻擊可用於：
- 轉發模型輸出至攻擊者控制的伺服器
- 過濾特定資訊，偏袒攻擊者選擇的敘事
- 在特定觸發條件下執行攻擊者定義的操作
Microsoft 的回應
| 時間點 | 行動 |
|---|---|
| 2025 年 11 月 | Varonis 向 Microsoft 報告漏洞 |
| 2026 年 2 月 | Microsoft 初步緩解：不再允許 ?q= 參數直接注入文字 |
| 2026 年 8 月 | Microsoft 推出更全面的修復方案 |
但值得注意的是，此緩解措施也導致了第三方瀏覽器整合功能失效，因為 ?q= 參數曾被用於合法的瀏覽器擴展整合。
產業啟示：LLM 安全的共同困境
加上本週稍早 Ars Technica 報導的 Grok 加密上下文注入漏洞，一週內連續兩起重大 LLM 安全事件，共同揭示了 AI 安全的深層問題：
- 提示注入是 LLM 的結構性弱點，非傳統漏洞修補所能根治
- 模型自身可能成為攻擊者的情報來源，如 Copilot 自曝秘密參數
- 安全防護與可用性之間存在根本性矛盾——增強防護可能破壞合法功能
Dan Goodin 在 Ars Technica 的報導中精準總結道：「每一次安全團隊建立新的防護，攻擊者就找到新的繞過方式。這種循環持續不斷：沖洗、重複。」
本文信息來源：Ars Technica、Varonis 研究報告，2026 年 8 月 18-20 日。