先了解这件事
2026年10月1日,安全研究者 Johann Rehberger 在 BlueHat Asia 2026 披露 SQL Server Management Studio 中 Copilot 的提权漏洞 CVE-2026-65669,该漏洞被微软评为严重级别。研究显示,Copilot 的只读模式仅依靠 LocalSqlExecutionAccessChecker 中的正则黑名单实现,通过 DECLARE @p sysname='sp_who'; EXEC @p 或 sp_executesql 即可绕过,进而执行 CREATE、INSERT、UPDATE、DELETE、DROP 等任意 T/SQL。攻击者还可利用数据库元数据中的 AGENTS.md 与 CONSTITUTION.md 指令实施间接提示词注入,在低权限用户植入指令后由高权限用户的 Copilot 执行,最终把 db_owner 加入 sysadmin 角色。作者建议只读约束应作为安全不变量而非模型指令。目前尚无后续发展事实。
AI 根据公开报道生成
事件进展
1 个已确认进展
- 来源：Johann Rehberger / Embrace The Red
报道与讨论时间线
按时间查看正式报道与传播讨论；两类内容的证据等级保持独立。
10月1日
Johann Rehberger / Embrace The Red
SQL Copilot 只读绕过与提权研究：从 SELECT 到 SYSADMIN（CVE-2026-65669）
安全研究者 Johann Rehberger 在 BlueHat Asia 2026 披露 SQL Server Management Studio 中 Copilot 的提权漏洞 CVE-2026-65669，该漏洞被微软评为严重级别。研究发现 Copilot 的只读模式仅靠 LocalSqlExecutionAccessChecker 中的正则黑名单实现，通过 DECLARE @p sysname='sp_who'; EXEC @p 或 sp_executesql 即可绕过，进而执行 CREATE、INSERT、UPDATE、DELETE、DROP 等任意 T/SQL。攻击者还可利用数据库元数据中的 AGENTS.md 与 CONSTITUTION.md 指令实施间接提示词注入，在低权限用户植入指令后由高权限用户的 Copilot 执行，最终把 db_owner 加入 sysadmin 角色；作者建议只读约束应作为安全不变量而非模型指令。