Vad Microsoft 365 Copilots "SearchLeak"-problem säger om risken i AI-eran

By Kate O'Flaherty • 16 juli 2026 • 6 minuters läsning

Copilot SearchLeak-sårbarhetskedjan visar hur vilken AI-assistent som helst kan utvecklas från en produktivitetsfunktion till en ny väg till data som ärver användarens räckvidd. Vilka lärdomar kan säkerhets- och efterlevnadsledare dra?

I juni, forskare vid Varonis Threat Labs avtäckt en kritisk sårbarhetskedja i Microsoft 365 Copilot Enterprise kallad "SearchLeak". Spåras som CVE-2026-42824, skulle angripare kunna använda bristen för att stjäla känsliga data – inklusive e-postmeddelanden, multifaktorautentiseringskoder (MFA) och indexerade filer – med ett enda klick.

SearchLeak åtgärdades snabbt av Microsoft innan det utnyttjades i några verkliga attacker. Ändå har Copilot-problemet visat hur vilken AI-assistent som helst kan utvecklas från en produktivitetsfunktion till en ny väg till data som ärver användarens räckvidd.

Vilka lärdomar kan säkerhets- och efterlevnadschefer dra?

Ett klick, ingen skadlig kod

SearchLeak-felet visar att en ansluten AI-assistent bara är så begränsad som behörigheterna hos den person som kör den. När den blir lurad kan den nå och läcka vad som helst en användare kan.

SearchLeak kombinerar en relativt ny klass av AI-specifik sårbarhet som kallas parameter-till-snabb injektion med två klassiska webbsäkerhetsbuggar: En HTML-injektionsfel för race condition och en förfalskning av serversidans begäran problem.

”Varje sårbarhet kan verka hanterbar individuellt”, skrev säkerhetsforskaren Dolev Taler i en blogg”Kedjekopplade ger de en angripare möjligheten att tyst extrahera e-postmeddelanden, säkerhetskoder och annat känsligt innehåll från ett offers postlåda, kalender, SharePoint och OneDrive – allt med ett enda klick på en intet misstänkt länk.”

Experter säger att SearchLeak-problemet var oroande på grund av dess enkelhet. ”Ett klick, ingen skadlig kod, inga stulna inloggningsuppgifter”, kommenterar Tim Freestone, strategichef på Kiteworks. ”Copilot läste det som fanns i URL:en som en instruktion, hittade e-postmeddelandena eller MFA-koderna och skickade ut dem via en bildtagg som renderades till Bing innan svaret ens hade laddats klart.”

Risker för datastyrning

SearchLeak belyser de risker med datastyrning som AI medför. Många organisationer saknar fortfarande en heltäckande förståelse för vem som har tillgång till känslig information, hur brett informationen delas eller hur behörigheter kombineras mellan olika affärssystem.

Problemet handlade inte ens om alltför omfattande behörigheter: Copilot åtkom bara till det som användaren redan hade tillgång till, säger Tristan Shortland, CTO på Infinity Group. ”Problemet är hur den åtkomsten kan utlösas och automatiseras. Även väldefinierade behörigheter kan utnyttjas om kontrolllagren kring AI är svaga.”

AI gör att fragmenterade behörigheter "bete sig som en enda behörighetsmodell", berättar Jared Atkinson, teknikchef på SpecterOps IO”En användare kan ha till synes ofarlig åtkomst till Outlook, Teams, SharePoint, GitHub, Salesforce, ServiceNow och molnplattformar individuellt. När en AI-assistent kan resonera över alla dessa plattformar kan kombinationen avslöja betydligt mer än någon enskild applikation på egen hand.”

I takt med att organisationer anammar AI handlar datastyrning mindre om var information lagras och mer om att förstå identiteterna och behörighetsrelationerna som gör att den kan kombineras, säger Atkinson.

AI eliminerar den "säkerhet genom oklarhet" som många organisationer av misstag förlitar sig på, säger Dray Agha, chef för säkerhetsoperationer på Huntress. "Utan strikt datastyrning gör AI-verktyg det otroligt enkelt för anställda – eller komprometterade konton – att omedelbart hitta och sammanfatta känslig information som tidigare varit dold i det rena bruset och volymen i företagsnätverk."

Växande attackyta

I takt med att agenter spänner över fler appar växer attackytan på grund av ett ökande antal datakällor, åtgärder och komplexa kedjor. Med detta i åtanke förutspår Infinity Groups Shortland att det i framtiden kommer att finnas färre enskilda "stora" sårbarheter och "fler flerstegsattacker inom AI, identitet och API:er".

Dagens AI-assistenter hämtar information. Nästa generations AI-agenter kommer att "utföra arbete över flera affärsapplikationer och koordinera åtgärder i e-post, källkodsdatabaser, molnplattformar, ärendesystem, CRM-plattformar, identitetsleverantörer och andra företagstjänster", säger SpecterOps Atkinson.

Denna autonomi kommer att leda till en bredare användning av delegerad auktoritet, säger han. ”Agenter kommer att få delegerade inloggningsuppgifter, tjänstidentiteter eller applikationsspecifika behörigheter som gör det möjligt för dem att utföra åtgärder som användaren inte skulle kunna utföra direkt. Detta kommer att skapa nya möjligheter till oavsiktlig dataexponering, privilegieupptrappning eller missbruk, om delegerade behörigheter inte regleras noggrant.”

Återta kontrollen

Eftersom AI-agenter fortsätter att utgöra risker för företag kan säkerhets- och efterlevnadschefer vidta några enkla åtgärder för att ta tillbaka kontrollen och begränsa explosionsradien om liknande problem som SearchLeak uppstår.

Det är viktigt att notera att det inte fungerar att helt enkelt blockera åtkomst. ”Förbud driver bara användningen till konton utanför företag där man har ännu mindre insyn”, säger Freestone på Kiteworks.

I stället för att dra tillbaka AI rekommenderar Infinity Groups Shortland att man behandlar tekniken ”som ett abstraktionslager med höga privilegier”.

"I praktiken innebär det strikta avgränsningar av vad Copilot kan indexera och hämta: Inte bara användarbehörigheter, utan även AI-hämtningsomfång."

Shortland rekommenderar också segmentering av känsliga datakällor. ”Anta inte att allt behöver vara synligt via Graph.”

Samtidigt kan företag övervaka ovanliga hämtningsmönster och minska implicit förtroende för interna domäner, råder han. ”SearchLeak fungerade eftersom länken såg legitim ut. Kort sagt: Anta att AI kommer att luras någon gång och utforma kring det.”

Styrning av AI-åtkomst

Som SearchLeak-problemet visar kan man inte göra en AI-assistent omöjlig att knep, så den viktigaste kontrollen är att begränsa vad den kan nå. Synlighet är ett viktigt steg.

Säkerhetschefer bör inventera var AI-agenter används, förstå vilka identiteter de fungerar som och identifiera eventuella delegerade inloggningsuppgifter eller tjänstidentiteter de får, säger SpecterOps Atkinson. ”Mänskliga användare, tjänstkonton, applikationsidentiteter och AI-agenter bör alla utvärderas som en del av samma identitetsekosystem.”

Medan ISO 27001 inte skrevs för AI, dess kontroller "mappas direkt på SearchLeak-attackkedjan", enligt Kiteworks Freestone. Till exempel, Bilaga A.9 åtkomstkontroll skulle ha undersökt vad Copilot kunde nå.”A.12.4 loggning och övervakning skulle ha gjort exfiltreringsförsöket synligt i realtid”, påpekar han. ”Och A.8.2 informationsklassificering skulle ha hindrat reglerat innehåll från att korsa en reglerad gräns.”

Standarden tillhandahåller kontrollerna men saknar ramverket för att avgöra vad AI-system får göra från första början, förklarar han. Det är där ISO 42001 , den internationella standarden för AI-ledningssystem, kommer in.

Detta kräver konsekvensbedömningar före implementering, mänskliga tillsynsmekanismer och tydlig hantering av AI-specifika risker, inklusive snabb manipulation och oavsiktligt modellbeteende.

”Det här är exakt den hotklass som SearchLeak representerar”, säger Freestone. ”ISO 27001 täcker säkerhetskontrollerna och revisionsbevisen. ISO 42001 täcker de styrningsbeslut som ligger före dessa kontroller. Tillsynsmyndigheter börjar förvänta sig båda.”