Un lien Microsoft parfaitement légitime, un seul clic, et l’assistant Copilot se retourne contre son propre utilisateur pour livrer ses données personnelles à un serveur contrôlé par un attaquant. Varonis Threat Labs a dévoilé cette attaque baptisée « Reprompt », une injection de prompt indirecte d’un genre nouveau qui exploite non pas une extension tierce ou un plugin vérolé, mais le fonctionnement natif de Copilot, son paramètre d’URL « q », celui-là même qui permet de pré-remplir une requête dans la barre de conversation.
Le mécanisme repose sur trois étages de ruse, empilés avec une élégance presque dérangeante. D’abord, l’attaquant forge une URL Copilot contenant des instructions dissimulées dans le paramètre « q ». Quand la victime clique (depuis un e-mail, un message Teams, n’importe quel canal de communication), Copilot interprète immédiatement ces instructions comme si l’utilisateur les avait tapées lui-même. Ensuite, le prompt malveillant ordonne à l’assistant de répéter chaque action deux fois, une astuce d’une désarmante simplicité qui contourne les garde-fous de Microsoft, lesquels ne s’appliquent qu’à la première requête. Enfin, et c’est là que Reprompt devient véritablement redoutable, un mécanisme de « chain-request » prend le relais : le serveur de l’attaquant renvoie dynamiquement de nouvelles instructions à Copilot, étape par étape, aspirant progressivement le nom d’utilisateur, la localisation, les fichiers consultés dans la journée, les conversations précédentes…
L’exfiltration se poursuit même après la fermeture de l’onglet Copilot, car la session reste active en arrière-plan. Aucun outil de surveillance côté client ne peut détecter ce qui se passe, puisque les véritables commandes malveillantes ne figurent jamais dans le prompt initial. Elles arrivent du serveur distant, au fil d’un dialogue fantôme entre l’IA et l’infrastructure de l’attaquant. Qui pourrait soupçonner un lien copilot.microsoft.com ?
Varonis a démontré que l’attaquant pouvait demander à Copilot de résumer tous les fichiers auxquels l’utilisateur a accédé, d’indiquer son lieu de résidence ou encore de détailler ses prochaines vacances. Le tout sans que la victime ne saisisse le moindre mot, sans plugin installé, sans connecteur activé. La surface d’attaque se réduit à un clic sur un lien d’apparence anodine, ce qui rend les campagnes de phishing exploitant cette faille potentiellement dévastatrices.
Microsoft a confirmé avoir corrigé la vulnérabilité à la date de publication de la recherche, et a tenu à préciser que les clients entreprise utilisant Microsoft 365 Copilot n’étaient pas affectés, seul Copilot Personal étant concerné. Mais Varonis a depuis découvert une variante baptisée « SearchLeak », ciblant cette fois Copilot Enterprise Search au sein des environnements Microsoft 365, où l’assistant hérite des mêmes droits d’accès que l’utilisateur sur l’ensemble de ses documents sensibles. La correction d’une brèche en ouvre donc potentiellement une autre, dans un jeu de taupe numérique qui illustre la fragilité structurelle de ces agents conversationnels.
Le problème fondamental, celui que Reprompt met en lumière avec une brutalité pédagogique, tient à l’incapacité des systèmes d’IA générative à distinguer une instruction légitime saisie par l’utilisateur d’une commande injectée via un canal externe. En 2024, des chercheurs avaient déjà exposé un défaut similaire dans ChatGPT, où des instructions malveillantes dissimulées dans des documents partagés via des plateformes cloud suffisaient à détourner l’assistant d’OpenAI. Reprompt pousse la logique plus loin en supprimant toute interaction nécessaire de la part de la victime après le clic initial.
Quand un assistant IA accumule l’accès aux e-mails, aux fichiers, aux calendriers et à la mémoire conversationnelle d’un utilisateur, il devient un point de collecte d’une richesse extraordinaire pour un attaquant. Varonis recommande aux éditeurs de traiter toute entrée externe (URL, liens profonds, prompts pré-remplis) comme fondamentalement non fiable, et d’appliquer les contrôles de sécurité à chaque étape de la chaîne d’exécution, pas uniquement à la première requête. Côté utilisateurs, la vigilance reste le dernier rempart : vérifier tout prompt qui s’affiche automatiquement, se méfier des liens ouvrant directement un outil IA, fermer et signaler toute session au comportement inattendu.
Les assistants IA ne sont plus de gentils chatbots cantonnés à reformuler des paragraphes ou générer des recettes de cuisine. Ils sont désormais profondément intégrés au cœur des environnements de travail, dotés de privilèges d’accès considérables, et la confiance que leur accordent les utilisateurs constitue peut-être, en définitive, leur vulnérabilité la plus exploitable.
