微软365 Copilot存在数据泄露漏洞

Varonis Threat Labs 发现 SearchLeak（CVE-2026-42824），这是一个一键式漏洞，可从 Microsoft 365 Copilot 窃取数据。

今日有五个新的加密项目（包括 iotex-core 和 Maskbook）在 GitHub 上获得了大量 star，表明开发者兴趣活跃。

SearchLeak 漏洞（CVE-2026-42824）影响了 Copilot for Microsoft 365 的渲染层，使所有许可证等级都面临敏感数据被盗的风险。

SearchLeak 漏洞（CVE-2026-42824）允许攻击者通过单击一次即可从 Microsoft 365 Copilot Enterprise 窃取敏感数据（包括电子邮件和 MFA 验证码）。

💡 机会 [6/10]

prediction-market 和 swapper-toolkit 等新加密项目在 GitHub 上获得 star，表明在细分领域有活跃的开发活动和潜在创新。

SearchLeak 漏洞（CVE-2026-42824）源于 Microsoft 365 Copilot Enterprise Search 渲染层的一个关键缺陷，该缺陷在所有模块和许可证等级中共享。其核心这是一种高级的提示词注入形式，攻击者精心构造的链接诱使底层 LLM 将攻击者控制的内容视为合法、可信的指令。这种「LLM 作用域违规」使模型能够通过微软自身可信的基础设施访问并窃取敏感用户数据（如电子邮件、MFA 验证码和索引文件），这使得缺乏统一可见性层的企业难以检测。

这不是孤例；SearchLeak 紧随 EchoLeak（CVE-2025-32711），后者是 Aim Security 于 2025 年 6 月披露的一个零点击漏洞，同样利用「LLM 作用域违规」通过一封精心构造的电子邮件触发数据窃取。虽然 EchoLeak 因其零点击性质具有更高的 CVSS 评分 9.3，但 SearchLeak 的一次点击要求对企业环境而言门槛仍然很低。这两个漏洞都凸显了 LLM 解释和响应外部输入方式中反复出现的系统性弱点，揭示了绕过传统安全控制的复杂提示词注入技术的持续威胁。

对于东南亚和新兴市场的散户加密投资者和开发者而言，这些企业级安全漏洞凸显了一个普遍的数字化风险环境。虽然 SearchLeak 不直接针对加密协议，但它侵蚀了众多用户依赖的日常运营和敏感信息存储的更广泛数字生态系统信任。这种更广泛的信任侵蚀可能会间接影响所有平台（包括加密货币）对数字安全的看法。对于网络安全资源有限的地区的中小企业和个人而言，检测此类复杂攻击——尤其是那些利用可信渠道的攻击——变得更加困难，强调了需要 robust 的个人安全习惯和意识。

在市场情绪标注为看跌（4/10）的背景下，主要加密货币小幅上涨，BTC 上涨 +0.4% 至 $64,352，ETH 上涨 +1.4% 至 $1,920.87，SOL 上涨 +1.9% 至 $77.3。在整体看跌背景下的这种小幅上涨可能反映了潜在的韧性或短期技术反弹，而非情绪的明确转变。然而开发者活动呈现对比积极的信号；iotex-core 和 Maskbook 等新项目获得 GitHub star 表明加密领域持续创新和长期建设者信心，即使在谨慎时期也可能吸引未来资本。

在未来 48 小时内，关注更广泛的技术社区如何讨论 SearchLeak 对 AI 安全和企业防御的影响，因为这一叙事可能微妙地影响整体数字资产情绪。对于加密特定信号，观察 ETH、LINK 和 SOL 的温和价格涨幅是持续还是逆转，以判断当前投资者谨慎情绪。此外，关注新项目开发者活动的持续增长；持续的 GitHub star 增长往往先于重要的项目里程碑或代币发行，在整体看跌市场中提供潜在机会。任何关于 AI 安全改进的重大新闻都可能使论点转向积极。

AI 驱动 • Gemini + Groq + Free API。每 2 小时更新一次。

对于进一步行动，你可以考虑屏蔽此人或报告滥用。