К содержимому
RU
Запросить доступ
Разделы документацииБиблиотека
Статус доступа
БИБЛИОТЕКА ЗАЩИТЫ ИИ

📧 Защита email и продуктивити-копилотов: безопасность от косвенной инъекции через письма и документы

Целевая аудитория: Команды, разворачивающие email- и продуктивити-копилотов — ассистенты Microsoft 365 Copilot и Google Workspace/Gmail, почтовые помощники, копилоты, которые читают входящие, файлы и календарь пользователя.

Email-копилот отличается от чат-бота одним свойством, которое переворачивает модель угроз: он сам втягивает контент, доступный атакующему — ваш почтовый ящик, расшаренные файлы, приглашения в календарь — и при этом может совершать действия: отправлять письма, делиться файлами, создавать правила, планировать встречи. Поэтому главный риск здесь — не прямая инъекция от пользователя, а косвенная инъекция, приходящая по почте: атакующий присылает письмо с нагрузкой, копилот читает его, отвечая на несвязанный запрос, и исполняет внедрённую инструкцию — без единого клика пользователя. Реальный прецедент — EchoLeak (CVE-2025-32711, CVSS 9.3): первый zero-click эксплойт против AI-агента, в котором письмо заставляло Microsoft 365 Copilot выгрузить приватные данные организации. Когда стоит задача обеспечить безопасность Copilot и защиту email-копилота, защищать нужно входящий канал (письма, документы, приглашения) и исходящие действия копилота.

Защитный слой Spectorn инспектирует контент, который копилот втягивает из писем и файлов, на встроенные инструкции и каналы эксфильтрации, контролирует исходящие действия (отправка, шаринг, правила), находит утечку данных и ведёт хеш-связанный журнал решений. Защитный слой работает в составе платформы Spectorn.

Эта страница разбирает риски email-копилотов в терминах OWASP Top 10 для LLM-приложений (2025) и техник MITRE ATLAS — и показывает, какие движки Spectorn прикрывают каждый вектор.

🛑 Ключевые риски и что Spectorn с ними делает

1. Косвенная инъекция через входящие письма и документы (Indirect Prompt Injection)

Риск: Атакующий присылает письмо с нагрузкой (или расшаривает документ); копилот читает его, отвечая на несвязанный запрос пользователя, и следует внедрённой инструкции — без взаимодействия пользователя («пользователю не нужно открывать или кликать вредоносное письмо»). Это головной риск email-копилотов и механизм доставки, лежащий в основе EchoLeak: вредоносная инструкция приходит из источника, которому копилот доверяет по умолчанию.

OWASP LLM01:2025 Prompt Injection, LLM06:2025 Excessive Agency · MITRE ATLAS AML.T0051 (LLM Prompt Injection, индиректный поток).

Защита Spectorn:

  • Движки: injection, dormant_payload, output_scanner.
  • injection инспектирует тело письма и содержимое документа как недоверенный ввод — встроенные инструкции и скрытые/невидимые символы отклоняются до того, как копилот начнёт по ним действовать.
  • dormant_payload распознаёт отложенные нагрузки, рассчитанные сработать при последующей обработке; output_scanner перехватывает попытку копилота исполнить внедрённую команду.

2. Эксфильтрация данных через копилот: EchoLeak и ASCII-смаглинг (Data Exfiltration)

Риск: EchoLeak (CVE-2025-32711, исправлен Microsoft на стороне сервера) — первый zero-click эксплойт против AI-агента: сконструированное письмо вызывает «нарушение области» (LLM Scope Violation), при котором недоверенный внешний ввод заставляет Copilot поднять привилегированные данные организации и слить их через авто-подгружаемую markdown-картинку или ссылку, обходя классификаторы и редактирование ссылок. Родственная техника — ASCII-смаглинг: невидимые Unicode-теги прячут эксфильтруемые данные внутри безобидной на вид гиперссылки.

OWASP LLM02:2025 Sensitive Information Disclosure, LLM01:2025 Prompt Injection, LLM05:2025 Improper Output Handling · MITRE ATLAS AML.T0024 (Exfiltration via AI Inference API), AML.T0051 (LLM Prompt Injection — триггер).

Защита Spectorn:

  • Движки: output_scanner, exfiltration, secret_scanner.
  • output_scanner инспектирует исходящий ответ копилота на каналы эксфильтрации — авто-подгружаемые картинки, подозрительные ссылки, скрытые Unicode-теги ASCII-смаглинга — и блокирует их до выдачи.
  • exfiltration ловит сам паттерн «приватные данные → внешний канал»; secret_scanner находит секреты в составе ссылки или вложения.

3. Абуз авто-действий и избыточные полномочия (Excessive Agency)

Риск: Внедрённые инструкции заставляют копилот использовать подключённые инструменты — отправить письмо, переслать тред, расшарить файлы, создать правило, запланировать встречу — превращая избыточную агентность в действия, управляемые атакующим, и в латеральное движение. Копилот действует от имени пользователя, поэтому отправленное им письмо выглядит легитимным.

OWASP LLM06:2025 Excessive Agency, LLM01:2025 Prompt Injection · MITRE ATLAS AML.T0051 (LLM Prompt Injection), AML.T0048 (External Harms).

Защита Spectorn:

  • Движки: goal_predictability, tool_abuse, capability_flow.
  • goal_predictability — эвристический поведенческий движок: в рассуждениях/командах копилота выявляет многошаговые цепочки увода с штатной цели (напр. «прочитать секрет → отправить», «разведка → эксплойт»); такой goal-hijack паттерн помечается до исполнения.
  • tool_abuse распознаёт опасный вызов подключённого инструмента; capability_flow контролирует поток возможностей, не давая внедрённой инструкции связать «чтение письма» с «отправкой данных наружу».

Что Spectorn честно НЕ заменяет: принцип наименьших привилегий для подключённых инструментов и human-in-the-loop для меняющих состояние действий. Критичные операции (массовая рассылка, внешний шаринг) должны требовать подтверждения человека на уровне самого копилота. Spectorn блокирует аномальное действие, но не подменяет узкие scope'ы инструментов и подтверждение пользователя.

4. Утечка системного промпта и данных другого пользователя (System Prompt / Cross-User Leakage)

Риск: Сконструированные промпты выманивают у копилота его скрытый системный промпт/конфигурацию (что облегчает последующие атаки) либо поднимают данные другого пользователя/тенанта через общий бэкенд-контекст. Канонический прецедент кросс-воркспейсной эксфильтрации — индиректная инъекция в Slack AI (кейс ATLAS AML.CS0035).

OWASP LLM07:2025 System Prompt Leakage, LLM02:2025 Sensitive Information Disclosure · MITRE ATLAS AML.T0051 (LLM Prompt Injection), AML.T0024 (Exfiltration via AI Inference API).

Защита Spectorn:

  • Движки: output_scanner, injection, intent_revelation.
  • injection распознаёт попытки выманить системный промпт; output_scanner инспектирует ответ на фрагменты промпта и служебной конфигурации и блокирует их.
  • intent_revelation помечает запросы, чья реальная цель — раскрытие внутренних инструкций или данных за пределами текущего пользователя.

5. Вредоносные приглашения в календарь и вложения как носители инъекции (Injection Carriers)

Риск: Нагрузка едет в теле приглашения на встречу, в описании .ics, во вложенном документе или в метаданных файла — контент, который копилот втягивает, суммируя «мой день» или «это вложение». Механизм тот же, что и в письме (риск №1), но носитель другой — и именно календарь/вложения часто упускают из виду по сравнению с телом письма.

OWASP LLM01:2025 Prompt Injection, LLM06:2025 Excessive Agency · MITRE ATLAS AML.T0051 (LLM Prompt Injection, индиректный поток).

Защита Spectorn:

  • Движки: injection, dormant_payload, output_scanner.
  • injection инспектирует тело приглашений, описания .ics, содержимое вложений и метаданные файлов как недоверенный ввод — наравне с телом письма.
  • dormant_payload распознаёт нагрузки, рассчитанные сработать при суммаризации; output_scanner перехватывает попытку действия по внедрённой инструкции.

6. Извлечение избыточно-доступных данных внутри копилота (Over-Permissioned Retrieval)

Риск: Поскольку копилот наследует (часто слишком широкие) права пользователя в тенанте и не применяет суждения, запрос «суммируй таблицу с зарплатами» поднимает файлы, которые пользователь технически может открыть, но видеть был не должен. Это «перешаринг», знакомый по RAG-развёртываниям, но в обличье копилота.

OWASP LLM02:2025 Sensitive Information Disclosure, LLM08:2025 Vector and Embedding Weaknesses · MITRE ATLAS AML.T0024 (Exfiltration via AI Inference API).

Защита Spectorn:

  • Движки/компоненты: pii, exfiltration, Decision Logger.
  • pii находит чувствительные поля в поднятых документах; exfiltration помечает аномальный объём извлечения, характерный для «вычёрпывания» сверх роли.
  • Decision Logger фиксирует, какие файлы были подняты в ответ на запрос — основа для разбора несанкционированного доступа.

Граница ответственности: устранение пере-шаринга у источника (sensitivity-метки, ревизия прав до развёртывания копилота) — задача вашей платформы коллаборации. Spectorn обнаруживает утечку и даёт аудит, но не подменяет наведение порядка в правах доступа. Архитектуру извлечения по стадиям разбирает Безопасность RAG-приложений как поверхности.

🛠️ Настройка политики

Файла конфигурации, который нужно развернуть, нет: политику вашего тенанта по запросу задаёт оператор платформы, включая режим проверки (блокировка или наблюдение, при котором видно, что было бы заблокировано), списки разрешений и запретов, порог блокировки и веса категорий. Для этой отрасли важнее всего движки: injection, dormant_payload, output_scanner, exfiltration, goal_predictability, tool_abuse, capability_flow, intent_revelation, pii. Начните с режима наблюдения на своём трафике, посмотрите, что было бы заблокировано, и затем включите блокировку. Маскирование персональных данных в облачных контурах не включено: запрос с персональными данными блокируется или отмечается, а не переписывается.

🚨 Корреляция в вашей SIEM

Spectorn отправляет каждую находку в указанную вами SIEM как JSON-событие по HTTPS (spectorn.ai-finding.v1) с правилом, категорией, серьёзностью и verdict_id. Многошаговые правила для этой отрасли стройте там, например: инъекция во входящем письме/документе, за которой следует выгрузка приватных данных через ссылку/картинку; инъекция во втянутом контенте, за которой следует авто-действие копилота (отправка, шаринг, правило). Собственная корреляция SOC в Spectorn (GoMCP) в облачных контурах RU и Global не развёрнута.

❓ Частые вопросы (FAQ)

Почему косвенная инъекция через письмо — головной риск email-копилота? Потому что копилот сам втягивает входящие, отвечая на несвязанный запрос, и доверяет им по умолчанию — атакующему достаточно прислать письмо, пользователю не нужно его открывать или кликать. Так работал EchoLeak. Spectorn инспектирует тело письма и документы как недоверенный ввод движком injection с нормализацией Unicode, а output_scanner и exfiltration перехватывают попытку слить данные.

Что такое EchoLeak (CVE-2025-32711) и прикрывает ли его Spectorn? EchoLeak — первый zero-click эксплойт против AI-агента: письмо вызывало «нарушение области», заставляя Microsoft 365 Copilot поднять приватные данные и слить их через авто-подгружаемую картинку/ссылку. Microsoft устранил конкретную уязвимость на стороне сервера. На исходящем потоке Spectorn прикрывает класс, а не одну уязвимость: output_scanner помечает авто-подгружаемые картинки, подозрительные ссылки и Unicode-смаглинг и в режиме блокировки блокирует их, а exfiltration ловит сам паттерн выгрузки. Вариант, который не распознаёт ни одно правило, всё ещё может пройти.

Что такое ASCII-смаглинг в контексте копилота? Это сокрытие эксфильтруемых данных внутри безобидной на вид гиперссылки с помощью невидимых Unicode-тегов: пользователь видит обычную ссылку, а в ней спрятаны украденные данные. Spectorn инспектирует исходящий ответ движком output_scanner с детекцией Unicode-смаглинга и нормализует скрытые символы движком injection на входе.

Как не дать копилоту отправить письмо или расшарить файл по команде атакующего? Внедрённая инструкция может заставить копилот использовать подключённые инструменты — отправку, шаринг, создание правил. Spectorn эвристически выявляет многошаговые цепочки увода с цели (goal_predictability), ловит опасный вызов инструмента (tool_abuse) и разрывает связку «чтение письма → отправка наружу» (capability_flow). Но критичные операции должны дополнительно требовать подтверждения человека на уровне самого копилота — Spectorn это не подменяет.

Может ли копилот показать данные другого пользователя или другого тенанта? Да — через выманивание системного промпта или через общий бэкенд-контекст (канонический прецедент — индиректная инъекция в Slack AI, кейс ATLAS AML.CS0035). Spectorn распознаёт попытки выманить промпт (injection), блокирует его фрагменты в ответе (output_scanner) и помечает запросы за пределы текущего пользователя (intent_revelation).

Опасны ли приглашения в календарь и вложения так же, как письма? Да, и их часто упускают: нагрузка едет в теле приглашения, описании .ics, вложенном документе или метаданных файла — копилот втягивает их, суммируя «мой день» или «это вложение». Spectorn инспектирует эти носители движком injection наравне с телом письма, а dormant_payload распознаёт нагрузки, рассчитанные сработать при суммаризации.

Что Spectorn в email-копилоте НЕ заменяет? Принцип наименьших привилегий для подключённых инструментов, human-in-the-loop для меняющих состояние действий и устранение пере-шаринга у источника (sensitivity-метки, ревизия прав до развёртывания). Spectorn инспектирует втянутый контент, блокирует каналы эксфильтрации и аномальные действия и даёт аудит — но узкие scope'ы инструментов, подтверждение пользователя и наведение порядка в правах остаются на стороне платформы. Архитектуру извлечения по стадиям разбирает Безопасность RAG-приложений как поверхности.

📚 Источники

Внутренние материалы: OWASP Top 10 для LLM (2025) · Безопасность RAG-приложений как поверхности · Безопасность автономных AI-агентов · Безопасность MCP-серверов.

Безопасность email и офисных ИИ-копилотов | Spectorn