Uma vulnerabilidade no Microsoft 365 Copilot Enterprise mostrou como assistentes de inteligência artificial conectados a dados corporativos podem criar uma nova superfície de ataque. Pesquisadores da Varonis Threat Labs demonstraram uma técnica capaz de fazer o Copilot acessar e enviar informações privadas de uma vítima depois de um único clique em um link especialmente preparado.
Batizada de SearchLeak e identificada como CVE-2026-42824, a cadeia poderia expor conteúdos aos quais o usuário já possuía acesso por meio do Microsoft 365, incluindo e-mails, arquivos privados, informações de reuniões e até códigos de autenticação multifator (MFA) presentes nas mensagens.
O problema já foi corrigido pela Microsoft no lado do serviço, sem necessidade de atualização manual pelos usuários. Não há, nas fontes consultadas, evidência pública de exploração da SearchLeak em ataques reais.
O caso, entretanto, expõe um desafio maior: quando uma IA recebe autorização para pesquisar grandes volumes de informações corporativas, uma manipulação do próprio assistente pode transformar permissões legítimas em uma ferramenta para roubo de dados.
Um clique em um endereço legítimo da Microsoft
A característica mais preocupante da SearchLeak estava na simplicidade da interação necessária.
O atacante poderia preparar um endereço relacionado ao próprio serviço da Microsoft contendo instruções manipuladas. A vítima precisaria apenas clicar no link.
Não era necessário instalar um programa, fornecer senha ou copiar comandos para o Copilot.
O fato de o endereço utilizar um domínio legítimo da Microsoft também poderia dificultar a identificação do ataque por mecanismos tradicionais de filtragem de URLs.
Depois do clique, uma sequência de vulnerabilidades permitia manipular o comportamento do Copilot para buscar informações acessíveis à vítima e enviá-las para uma infraestrutura controlada pelo atacante.
SearchLeak combinava três técnicas
O ataque não dependia de uma única falha. Os pesquisadores combinaram três mecanismos diferentes para criar a cadeia de exfiltração.
O primeiro era chamado de Parameter-to-Prompt (P2P) Injection.
A funcionalidade de busca do Microsoft 365 Copilot aceitava parâmetros pela URL. Os pesquisadores descobriram que era possível manipular esse mecanismo para inserir instruções que seriam interpretadas pelo assistente.
Na prática, o link funcionava como uma forma indireta de enviar um prompt malicioso.
O segundo componente explorava uma condição relacionada à renderização HTML, criando uma janela na qual informações poderiam ser processadas antes da aplicação completa de determinados controles de segurança.
Por fim, os pesquisadores utilizaram uma técnica envolvendo requisições do Bing para contornar a política de segurança de conteúdo e transmitir os dados para fora do ambiente.
O próprio Copilot procurava os dados
O aspecto mais importante da vulnerabilidade é que o atacante não precisava necessariamente possuir acesso direto ao Microsoft 365 da vítima.
O Copilot fazia a busca.
Como o assistente pode pesquisar informações às quais aquele usuário possui permissão de acesso, as instruções maliciosas poderiam fazer com que ele procurasse determinados conteúdos.
Entre os exemplos demonstrados estavam:
- códigos MFA recebidos por e-mail;
- mensagens privadas;
- informações de calendário e reuniões;
- documentos armazenados no OneDrive;
- arquivos presentes no SharePoint.
Essa característica mostra por que agentes e assistentes corporativos de IA exigem uma abordagem diferente de segurança.
O problema não está apenas no que o modelo “sabe”, mas em quais sistemas e informações ele está autorizado a consultar.
Códigos MFA também poderiam ser expostos
A possibilidade de buscar códigos de autenticação torna o cenário especialmente relevante.
Muitas plataformas enviam códigos temporários de autenticação por e-mail. Caso uma mensagem desse tipo estivesse disponível no ambiente pesquisável pelo Copilot, a cadeia demonstrada pelos pesquisadores poderia tentar localizá-la e retirar a informação.
Isso não significa que a vulnerabilidade permitisse automaticamente quebrar qualquer sistema de autenticação multifator.
O cenário dependia de o código estar acessível nos dados que o Copilot poderia consultar e de outras condições necessárias para o ataque.
Ainda assim, a demonstração evidencia como um assistente conectado a diferentes fontes corporativas pode ampliar o impacto de uma vulnerabilidade.
Permissões legítimas viraram parte do ataque
A SearchLeak ilustra um conceito cada vez mais importante na segurança da IA: o modelo pode ser manipulado para abusar das permissões do próprio usuário.
Em um ambiente corporativo convencional, permissões determinam quais documentos, e-mails e sistemas uma pessoa pode acessar.
O Copilot herda parte desse contexto para conseguir responder perguntas e localizar informações relevantes.
Essa capacidade é justamente uma das principais vantagens da IA corporativa.
Mas também cria um risco.
Se um atacante conseguir controlar as instruções recebidas pelo assistente, poderá tentar transformar o acesso legítimo da IA em um mecanismo de busca de informações confidenciais.
Microsoft corrigiu o problema no servidor
A vulnerabilidade foi comunicada à Microsoft pela Varonis durante um processo de divulgação responsável.
Segundo os pesquisadores, a empresa corrigiu a SearchLeak no lado do servidor, o que significa que usuários finais não precisaram instalar uma atualização específica para eliminar essa cadeia de ataque.
A correção ocorreu antes da divulgação pública dos detalhes técnicos.
Também não foram apresentadas evidências públicas de que criminosos tenham explorado a SearchLeak antes da correção.
Essa distinção é importante: a pesquisa demonstrou uma cadeia tecnicamente viável, mas isso não significa que dados de usuários tenham sido efetivamente roubados por meio dela.
SearchLeak não foi o primeiro alerta envolvendo Copilot
A descoberta também faz parte de uma sequência de pesquisas sobre ataques contra assistentes de IA.
No início de 2026, pesquisadores da Varonis divulgaram uma técnica chamada Reprompt, capaz de utilizar um único clique para iniciar exfiltração de informações através do Copilot Personal. A Microsoft também corrigiu esse problema.
A SearchLeak, porém, envolve o Microsoft 365 Copilot Enterprise Search, o que aumenta sua relevância para ambientes corporativos.
Esses episódios apontam para um problema estrutural da IA generativa: modelos ainda podem ter dificuldade em distinguir de maneira absoluta uma instrução legítima fornecida pelo usuário de conteúdo externo preparado especificamente para manipular seu comportamento.
Prompt injection passa a ter consequências corporativas
Durante os primeiros anos da IA generativa, prompt injection frequentemente aparecia em demonstrações nas quais pesquisadores tentavam fazer um chatbot ignorar suas instruções.
Com agentes conectados a sistemas empresariais, o risco mudou.
Uma IA pode agora pesquisar documentos, consultar e-mails, interagir com aplicações e executar determinadas ações.
Isso significa que manipular suas instruções deixa de ser apenas uma maneira de produzir uma resposta inesperada e pode se transformar em um vetor para acesso indevido, movimentação de informações ou execução de ações utilizando permissões legítimas.
A SearchLeak é um exemplo concreto dessa mudança.
Empresas precisam revisar o princípio do menor privilégio
Embora a vulnerabilidade específica tenha sido corrigida, o caso oferece uma lição importante para empresas que estão incorporando IA ao ambiente de trabalho.
Quanto mais fontes de dados um agente consegue acessar, maior é o potencial impacto caso ele seja manipulado.
Isso torna ainda mais relevante o princípio do menor privilégio: usuários e aplicações devem ter acesso apenas às informações realmente necessárias para suas atividades.
Também é recomendável revisar permissões excessivas no SharePoint, OneDrive e outros repositórios corporativos, além de tratar mecanismos de proteção contra prompt injection como parte da estratégia de segurança de aplicações de IA.
Para organizações brasileiras que utilizam Microsoft 365 Copilot, não há indicação nas fontes consultadas de comprometimento específico causado pela SearchLeak. Como a correção foi aplicada no serviço, o principal valor do episódio está no alerta sobre governança e segurança dos dados acessíveis à IA.
IA corporativa amplia a superfície de ataque
A SearchLeak representa algo maior do que uma vulnerabilidade isolada.
Durante anos, empresas organizaram suas defesas em torno de computadores, servidores, identidades, aplicações e redes. Agora surge uma nova camada capaz de conectar várias dessas áreas simultaneamente: o agente de inteligência artificial.
O Copilot pode ser extremamente útil justamente porque consegue encontrar informações espalhadas pelo ecossistema corporativo.
Mas essa mesma capacidade significa que sua segurança precisa considerar não apenas o modelo, mas também as permissões, fontes de dados, integrações e ações disponíveis ao assistente.
A descoberta da SearchLeak mostra que, na era dos agentes de IA, proteger os dados também significa proteger as instruções que dizem à inteligência artificial o que fazer.
