SearchLeak : la faille silencieuse qui a transformé Microsoft 365 Copilot en mouchard

Amine Baba Aissa - Numerama - 16/06
Les équipes de chercheurs en sécurité de Varonis Threat Labs ont trouvé comment transformer l'assistant IA de Microsoft en complice silencieux d'un vol de données, sans plugin, en un seul clic, et sans que la victime ne s'en aperçoive. Il a fallu attendre que trois vulnérabilités prises isolément, et plutôt banales,
Les équipes de chercheurs en sécurité de Varonis Threat Labs ont trouvé comment transformer l’assistant IA de Microsoft en complice silencieux d’un vol de données, sans plugin, en un seul clic, et sans que la victime ne s’en aperçoive.

Il a fallu attendre que trois vulnérabilités prises isolément, et plutôt banales, se rencontrent pour donner naissance à l’une des failles les plus sérieuses jamais documentées sur un assistant IA d’entreprise.

Baptisée SearchLeak et révélée le 15 juin 2026 par le chercheur Dolev Taler de Varonis Threat Labs, l’attaque cible Microsoft 365 Copilot Enterprise et a obtenu de l’entreprise américaine sa note de gravité maximale avant d’être corrigée.

Elle est désormais référencée sous l’identifiant CVE-2026-42824.

Schéma de l’attaque. // Source : Varonis Threat Labs

Le paramètre q, l’élément déclencheur

Le point d’entrée est un détail d’ergonom...
[Courte citation de 8% de l'article original]