Copilot broke audit logs, but Microsoft won't tell customers
Уязвимость Copilot: доступ к файлам без записи в журнал аудита
Автор: Zack Korman, 19.08.2025
Суть проблемы
M365 Copilot может читать файлы и не фиксировать это в журнале аудита, если попросить «не давать ссылку на файл». Это позволяет скрытно скачивать данные, нарушая безопасность и требования к соответствию.
Как обнаружил
Исследуя логику аудита для новой функции Pistachio, автор заметил пропуски в журнале. Проверка показала: достаточно добавить фразу «без ссылки» — запись исчезает. Это может произойти случайно, поэтому у многих организаций журналы уже искажены.
Реакция Microsoft
- Уязвимость признали «важной» и исправили.
- Клиентов не уведомили; официального бюллетеня нет.
- Процесс MSRC занял 45 дней, ответы были формальными, без деталей.
Вывод
Журналы аудита M365 Copilot ненадёжны, а Microsoft не планирует информировать пользователей. Организациям стоит перепроверить свои логи и усилить контроль доступа к чувствительным данным.