Reprompt: חוקרי Varonis הראו איך קליק אחד על קישור Copilot גונב מידע אישי

ב-14 בינואר 2026 חשפו חוקרי Varonis Threat Labs את Reprompt, מתקפה שמאפשרת לגנוב מידע מ-Copilot Personal של Microsoft אחרי קליק אחד על קישור לגיטימי. לפי Varonis, Microsoft אישרה שהיא פרסמה תיקון. המתקפה לא פוגעת ב-Microsoft 365 Copilot הארגוני.

איך Reprompt עובד

המתקפה מנצלת פרמטר בכתובת בשם q. בכתובת כמו copilot.microsoft.com/?q=Hello, Copilot ממלא את תיבת ההנחיה לבד. הוא מריץ אותה מיד, כאילו המשתמש הקליד אותה. פרמטר כזה נפוץ בפלטפורמות AI. Varonis מזכירה שחוקרים אחרים כבר הזכירו אותו במחקרים על ChatGPT ועל Perplexity.

Varonis מתארת שלוש טכניקות. הראשונה היא Parameter 2 Prompt: התוקף מסתיר הוראות בפרמטר q, וכך Copilot מבצע פעולות שהמשתמש לא ביקש. השנייה היא double-request. מנגנוני ההגנה של Copilot חלים רק על הבקשה הראשונה, ולכן מספיק להורות לו לבצע כל פעולה פעמיים.

השלישית היא chain-request. אחרי ההנחיה הראשונה, שרת של התוקף מוסיף הוראות המשך לפי התשובות הקודמות. כך נוצרת שרשרת בקשות שמדליפה מידע בהדרגה, וקשה לזהות אותה.

מה תוקף יכול לבקש ולמה קשה לזהות את זה

לפי Varonis, תוקף יכול לבקש סיכום של הקבצים שהמשתמש פתח היום. הוא יכול לשאול איפה המשתמש גר, או אילו חופשות הוא תכנן. הסשן של המשתמש נשאר פעיל גם אחרי שהוא סוגר את הצ'אט. לכן ההדלפה ממשיכה בלי פעולה נוספת.

Varonis מסבירה שאנשים משתפים עוזרי AI במידע אישי, ובוטחים בהם. לכן עוזר כזה עלול להפוך לכלי הדלפה אחרי קליק אחד. החוקרים מדגישים שהמתקפה לא דורשת מהמשתמש מעבר לקליק.

הבעיה הגדולה היא שההוראות האמיתיות מגיעות מהשרת, לא מההנחיה הראשונה. בדיקה של ההנחיה הראשונה לא מגלה מה מדליפים. כלי ניטור בצד הלקוח גם לא יתפסו את זה.

Varonis מדגישה ש-Reprompt אינו דומה ל-EchoLeak. המתקפה אינה דורשת הנחיות מהמשתמש, תוספים או מחברים. קליק אחד על קישור, מכל ערוץ תקשורת, מספיק.

איך להתגונן מ-Reprompt

Malwarebytes דיווחה ב-15 בינואר שעדכון Patch Tuesday של ינואר כולל תיקון לבעיה. לפי Malwarebytes, אין עדויות לניצול בעולם האמיתי עד כה. לכן הצעד הראשון הוא להתקין את עדכוני ינואר 2026.

Varonis ממליצה למשתמשי Copilot Personal לשים לב לקישורים. היזהרו מקישורים שפותחים כלי AI או ממלאים הנחיה מראש. אם עוזר ה-AI מבקש פתאום פרטים אישיים, סגרו את הסשן ודווחו. לפני שמריצים הנחיה שמופיעה אוטומטית, קראו אותה.

Malwarebytes מוסיפה המלצה לעבודה. השתמשו ב-Microsoft 365 Copilot למידע עסקי. יש בו ביקורת של Purview, מניעת דליפת נתונים והגבלות מנהל.

Varonis פונה גם לספקי עוזרי AI. היא ממליצה להתייחס לכתובות ולקלט חיצוני כאל קלט לא מהימן, ולשמור את ההגנות גם בבקשות חוזרות. היא מוסיפה ש-Reprompt הוא הראשון בסדרה: היא עובדת עם ספקים נוספים על פרצות דומות.

Reprompt: מה קרה מאז

בדף של Varonis יש עדכון מ-15 ביוני 2026. לפי העדכון, החוקרים גילו שרשרת מתקפה דומה ב-Copilot Enterprise Search, בשם SearchLeak. Varonis מזהירה שהשרשרת הזאת מסכנת ארגונים. Copilot פועל בתוך סביבת Microsoft 365, ולכן הוא מקבל את אותה גישה למידע רגיש שיש למשתמש.

עוד ב-GEEKLIK: באג ב-Copilot Chat סיכם מיילים סודיים למרות DLP, לפי Microsoft