微软 365 Copilot 未读邮件即泄露机密，病根是 1988 年的 confused deputy
YvesMulkers · x · 2026-10-20
Microsoft 365 Copilot 曾出现一个漏洞：攻击者发来的邮件即使未被用户打开，也可能让 Copilot 将机密数据泄露给发件人。Aim Security 研究员于 2025 年 6 月发现该逻辑缺陷，微软已分配 CVE-2025-32711 并在确认公开利用前发布补丁。作者指出，这类风险并不新鲜——1988 年的论文早已警告过「confused deputy」问题：当指令来源混淆时，代理会错误归属指令权限。如今我们只是给这个老问题配了邮箱。
「安全」频道最新
- Anthropic 泄露版联邦 AI 法案遭安全派痛批：远弱于两党 FRONTIER 法案 — ShakeelHashim · 2026-10-20
- 安全专家演示 LLM 逆向复印机防伪算法：混淆防护只剩几天寿命 — moyix · 2026-10-20
- 面对 AI 安全威胁，「封禁模型管 GPU」不如先修好自己的系统 — basedjensen · 2026-10-20
- 美国制裁窃取Google TPU机密的前华裔工程师关联的5家中企 — rohanpaul_ai · 2026-10-20
- 开源渗透测试 AI 沦为黑客武器，日韩约20家公司遭同一工具攻击 — rohanpaul_ai · 2026-10-20
- 上线远程 MCP 服务器实战：OAuth 动态注册、refresh 轮换与注入防护的踩坑复盘 — rvmdl · 2026-10-20