EchoLeak : la première attaque IA sans clic sur Microsoft 365 Copilot

02/09/2025

Pendant des années, les exploits « zéro clic » ont fait l'objet de scandales liés aux logiciels espions mobiles. Les pirates pouvaient compromettre un téléphone sans même appuyer sur une touche ou cliquer, laissant les victimes dans l'ignorance totale. Aujourd'hui, pour la première fois, ce même concept a fait son apparition dans le monde de l'intelligence artificielle.

Les chercheurs d'Aim Labs ont découvert une faille grave dans Microsoft 365 Copilot, qu'ils ont baptisée EchoLeak. Ce bug, noté 9,3 sur l'échelle de gravité CVSS, montre comment les assistants IA peuvent être amenés à divulguer secrètement des informations sensibles sans que l'utilisateur n'ait à faire quoi que ce soit.

En quoi EchoLeak est-il différent ?

Les cyberattaques traditionnelles nécessitent généralement une action de la part de l'utilisateur : ouvrir une pièce jointe, cliquer sur un lien malveillant, installer une application malveillante. EchoLeak ne nécessite rien de tout cela. Au lieu de cela, il exploite la manière même dont Copilot interprète le contexte qui lui est fourni.

Voici ce qui est inquiétant : Copilot ne se contente pas d'examiner votre demande. Il extrait les informations environnantes (e-mails, documents, chats Teams, fichiers OneDrive) afin de pouvoir fournir des réponses plus riches. EchoLeak introduit des instructions dans ce contexte de manière imperceptible : texte caché, métadonnées, voire anomalies de formatage. Lorsque Copilot traite la demande, il obéit sans le savoir aux commandes intégrées par l'attaquant.

Résultat ? Les données sensibles de l'entreprise peuvent être regroupées et envoyées vers le serveur d'un pirate, tandis que l'utilisateur final pense que Copilot se contente de résumer un document.

Comment l'exploitation se déroule

L'attaquant envoie ce qui semble être un e-mail, un document ou un message Teams normal. À l'intérieur, souvent dans les métadonnées, le texte invisible ou les astuces de formatage, se cachent des instructions destinées uniquement à l'IA. Les humains ne remarqueront rien d'inhabituel. Cet « appât caché » est la première étape de la manipulation de l'IA.
Le destinataire demande à Copilot d'effectuer une tâche courante : résumer le document, générer un rapport ou rechercher des informations. Du point de vue de l'humain, cela semble tout à fait normal. L'IA fait ce qu'elle est censée faire, à savoir traiter le contenu et fournir des résultats utiles.
Tout en exécutant la demande de l'utilisateur, Copilot lit et suit également les commandes cachées. Il récupère des informations sensibles à partir d'e-mails, de chats, de SharePoint, de OneDrive ou d'autres ressources internes. L'utilisateur n'en a pas conscience, car l'IA fonctionne silencieusement en arrière-plan.
Copilot envoie les informations collectées au serveur de l'attaquant, tout en donnant l'impression d'accomplir la tâche initiale de l'utilisateur. Aucune fenêtre contextuelle, aucun lien de phishing ni aucun message d'erreur n'apparaît, rien ne permet d'alerter l'opérateur humain.
Les assistants IA tels que Copilot sont conçus pour extraire des informations provenant de sources internes fiables. EchoLeak retourne cette confiance contre l'organisation, permettant aux attaquants d'exploiter l'IA comme un initié involontaire qui fait le lien entre les données internes et l'accès externe.

Pourquoi est-ce important ?

Les implications vont bien au-delà de Microsoft Copilot. EchoLeak montre que les qualités mêmes qui rendent les assistants IA utiles (leur conscience du contexte, leur capacité à établir des liens entre de grands ensembles de données) constituent également des faiblesses.

Pour les entreprises, cela signifie une exposition des bases de données les plus sensibles :

Les équipes financières pourraient voir fuiter des projets de budget ou des documents relatifs à des fusions-acquisitions.
Les organismes de santé risquent de voir les données de leurs patients divulguées par le biais de résumés assistés par l'IA.
Les cabinets d'avocats pourraient voir des documents confidentiels exfiltrés sans même se douter d'une brèche.

Les échos des menaces passées

Les experts en sécurité trouveront peut-être cette histoire familière. Il y a deux décennies, l'injection SQL exploitait la confiance cachée entre les applications et les bases de données. EchoLeak semble en être le successeur spirituel, sauf que désormais, la cible n'est plus une base de données, mais le « cerveau IA » intégré aux outils d'entreprise.

Comme l'injection SQL, EchoLeak n'exploite pas tant un code bogué que des hypothèses erronées : que les entrées sont bénignes et que les instructions invisibles seront ignorées.

Réponse de Microsoft

Microsoft a corrigé la vulnérabilité et ne signale aucune preuve d'exploitation active. Les défenses existantes de l'entreprise, à savoir la rédaction, les filtres de contenu et les systèmes de classification, n'ont pas été suffisantes dans ce cas, ce qui souligne la nécessité pour l'IA de disposer de sa propre couche de contrôles de sécurité.

Les organisations sont invitées à renforcer leurs règles de prévention des pertes de données (DLP), à limiter les types de contenu auxquels Copilot peut accéder et à étiqueter les documents sensibles afin qu'ils soient exclus du traitement par l'IA.

Leçons pour l'avenir

EchoLeak n'est pas tant un bug isolé qu'une nouvelle catégorie de risque. Les systèmes d'IA ne sont pas seulement des outils passifs, ils sont aussi des interprètes actifs du contexte. Cela les rend incroyablement puissants, mais aussi particulièrement vulnérables.

Les équipes de sécurité devront commencer à réfléchir à la question suivante :

L'IA a besoin de garde-fous qui détectent les invites malveillantes, et pas seulement les codes malveillants.
Limitez la portée de l'IA afin qu'une seule interaction ne puisse pas tout exposer.
Étendez le principe du « zero trust » à la couche IA, en traitant toutes les entrées comme potentiellement hostiles.

En bref, sécuriser l'IA ne concerne pas seulement le modèle, mais aussi la manière dont les personnes, les données et l'intelligence artificielle interagissent.