Θα σας πω κάτι ειλικρινές: όταν πρωτοδιάβασα τον τίτλο του MC1422060 στο Message Center, το είδα…και το προσπέρασα για την ώρα… «Άλλο ένα detection technology, άλλο ένα bullet σε ένα compliance report», σκέφτηκα. Το ξανάνοιξα μιά-δυό μέρες μετά, γιατί κάτι με παρακίνησε, και τότε κατάλαβα ότι δεν είχα διαβάσει αρκετά καλά και προσεκτικά τι λέει. Δεν μιλάμε για ακόμα ένα anti-phishing φίλτρο, αλλά για το πρώτο επίσημο, mainstream email security control που δεν προστατεύει πια μόνο τον άνθρωπο που διαβάζει το mail, αλλά προστατεύει και τον «άλλον» αναγνώστη, το AI assistant που όλο και περισσότερο τα διαβάζει πρώτο ή θα τα διαβάζει πρώτο απο εδώ και πέρα.
Κι αυτό, για κάποιον που περνάει το μεγαλύτερο μέρος της μέρας του σκεφτόμενος «ποιο είναι το επόμενο attack surface που δεν έχω ακόμα καλύψει», είναι από τα πράγματα που σε κάνουν να σηκωθείς και να ξαναγράψεις το risk register για άλλη μια φορά…
Τι αλλάζει, με απλά λόγια
Η ανακοίνωση αφορά το Microsoft Defender for Office 365 Plan 2, και λέει, χοντρικά, το εξής: όταν ένα εισερχόμενο email περιέχει περιεχόμενο σχεδιασμένο να χειραγωγήσει ένα AI assistant, το Defender θα το εντοπίζει και θα το βάζει στην καραντίνα προτού φτάσει είτε στον χρήστη είτε σε κάποιο AI-powered workflow που το επεξεργάζεται. Το rollout ξεκίνησε σε public preview από τον Ιούλιο και αναμένεται γενική διαθεσιμότητα παγκοσμίως τον άλλον μήνα, στις αρχές Οκτωβρίου 2026, αφού η αρχική ημερομηνία μετατέθηκε κατά περίπου έναν μήνα.
Αυτό που μου άρεσε, σαν να λέμε, είναι πόσο «σιωπηλά» σχεδιάστηκε αυτό το feature. Δεν χρειάζεται καμία ενέργεια από την πλευρά σας. Είναι ενεργοποιημένο εξ ορισμού για τους tenants που πληρούν τις προϋποθέσεις (Defender for Office 365 Plan 2 ή Microsoft 365 E5), και τα υπάρχοντα policies και workflows σας παραμένουν ανέγγιχτα. Ναι, το ξαναδιαβάσατε σωστά: ΚΑΜΙΑ απαίτηση ρύθμισης. Κάτι που, ας είμαστε ειλικρινείς, σπάνια βλέπουμε από τη Microsoft σε νέο security control, και προσωπικά με κάνει λίγο πιο επιφυλακτικό παρά ενθουσιασμένο, γιατί ό,τι δουλεύει «by default χωρίς να το βλέπεις» είναι και το πρώτο πράγμα που ξεχνάμε να ελέγξουμε όταν κάτι δεν πάει καλά.
Τι είναι πραγματικά το prompt injection (και γιατί δεν είναι απλά «άλλο ένα phishing»)
Ας ξεκαθαρίσουμε κάτι που βλέπω να μπερδεύεται συχνά σε συζητήσεις με συναδέλφους: το prompt injection δεν είναι μια νέα ονομασία για το ίδιο πρόβλημα. Είναι διαφορετική λογική επίθεσης.
Στο κλασικό phishing, ο στόχος είναι ο άνθρωπος. Ο επιτιθέμενος παίζει με την επείγουσα ανάγκη, την εξαπάτηση, το ψεύτικο sender address, ελπίζοντας να κάνετε κλικ ή να απαντήσετε. Στο prompt injection, ο στόχος είναι το μοντέλο που διαβάζει το μήνυμα εκ μέρους σας, το Copilot, ένα agent, ένα automation script. Το «payload» δεν είναι πια ένας κακόβουλος σύνδεσμος. Είναι κείμενο που μοιάζει με εντολή, κρυμμένο μέσα σε κάτι που φαίνεται εντελώς αθώο.
Και εδώ είναι το σημείο που μου κόπηκε λίγο η ανάσα την πρώτη φορά που το σκέφτηκα σοβαρά: οι τεχνικές που χρησιμοποιούνται δεν χρειάζονται καθόλου εξεζητημένο εργαλείο. Κρυφό κείμενο σε λευκή γραμματοσειρά πάνω σε λευκό φόντο, μηδενικό font-size, οδηγίες κρυμμένες μέσα σε ένα forwarded thread ή σε ένα quoted reply που κανείς άνθρωπος δεν θα διαβάσει μέχρι τέλους, ακόμα και encoding τεχνικές όπως base64 ή ασυνήθιστοι χαρακτήρες Unicode που σπάνε το κείμενο ώστε να ξεφύγει από απλά keyword filters, αλλά ένα LLM συνεχίζει να τα «διαβάζει» κανονικά.
Με άλλα λόγια: κάτι που ένας άνθρωπος ΠΟΤΕ δεν θα προσέξει σε ένα email, μπορεί να είναι ακριβώς αυτό που θα κάνει το AI assistant σας να στείλει ευαίσθητα δεδομένα σε ΛΑΘΟΣ παραλήπτη, ή να σας πει «αυτό το μήνυμα είναι ασφαλές» ενώ…Δεν είναι.
Πώς δουλεύει η ανίχνευση
Το Defender for Office 365 αξιολογεί τα εισερχόμενα μηνύματα ως μέρος του ίδιου filtering pipeline που ήδη χρησιμοποιεί για phishing, malware και business email compromise, συνδυάζοντας LLM classification με τα υπάρχοντα σήματα που έχει ήδη για τον αποστολέα και το μήνυμα. Και το σημαντικό: δεν κοιτάει μόνο ό,τι βλέπει ο άνθρωπος αλλά εξετάζει το subject και το σώμα του μηνύματος μαζί με το HTML markup, κρυφό ή αόρατο κείμενο που αποδίδεται διαφορετικά από ό,τι εμφανίζεται στην πηγή, quoted και forwarded περιεχόμενο μέσα στο thread, καθώς και encoded ή obfuscated τμήματα, τα οποία κανονικοποιούνται πριν αναλυθούν.
📷 Εικόνα 1: Microsoft Defender portal → Email & collaboration → Explorer → Detection technology. Το νέο φίλτρο “Prompt Injection Protection” ανάμεσα στα υπόλοιπα detection technologies.
Όταν εντοπιστεί κάτι τέτοιο, το μήνυμα ταξινομείται κάτω από το ήδη υπάρχον verdict High Confidence Phishing, αλλά με μια νέα τιμή στο πεδίο Detection Technology: Prompt Injection Protection. Αυτό είναι, νομίζω, το πιο έξυπνο design decision όλης της ανακοίνωσης. Δεν σας φορτώνουν με ένα εντελώς νέο verdict που πρέπει να μάθετε να χειρίζεστε ξεχωριστά, το εντάσσουν σε κάτι που ήδη ξέρετε, ήδη έχετε playbook γι’ αυτό, ήδη το βλέπει το SOC σας στα ίδια dashboards. Το μόνο νέο είναι το φίλτρο, διαθέσιμο τόσο στο Explorer (γνωστό και ως Threat Explorer, ή Real-time detections αν έχετε Plan 1) όσο και στο Advanced Hunting.
Τα high confidence threats καραντινώνονται αυτόματα, χωρίς να χρειάζεται καμία ενέργεια. Αν προκύψουν false positives, ο δρόμος είναι ο γνωστός, μέσω της διαδικασίας submission του Defender, και αν χρειάζεστε να διαχειριστείτε εξαιρέσεις, το Tenant Allow Block List παραμένει το εργαλείο σας.
Το κομμάτι που κανείς δεν λέει δυνατά: defense in depth, όχι silver bullet
Κάτι που εκτιμώ ιδιαίτερα στην τεκμηρίωση της Microsoft, και δεν το βλέπω τόσο συχνά διατυπωμένο τόσο καθαρά, είναι η παραδοχή ότι αυτό το control από μόνο του δεν αρκεί. Το Copilot και τα υπόλοιπα AI προϊόντα της Microsoft έχουν ήδη τις δικές τους άμυνες, input filtering, διαχωρισμό system instructions από user content, grounding boundaries, output filtering, όλα αυτά λειτουργούν στο επίπεδο του ίδιου του μοντέλου, τη στιγμή που «σκέφτεται». Το Defender for Office 365 προσθέτει ένα ΞΕΧΩΡΙΣΤΟ, πιο πρώιμο επίπεδο: επιθεωρεί το ίδιο το κανάλι email, πριν καν το μήνυμα φτάσει στο mailbox ή διαβαστεί από οποιοδήποτε assistant.
Αυτό σημαίνει, στην πράξη, ότι η προστασία δεν εξαρτάται από το ποιο συγκεκριμένο AI assistant, add-in τρίτου ή custom automation διαβάζει τελικά το μήνυμα. Αν κάτι κακόβουλο έχει ήδη μπλοκαριστεί στο mail flow, δεν έχει καν σημασία τι θα έκανε ο «δεύτερος αναγνώστης». Είναι ακριβώς η λογική του layered security που προσπαθούμε χρόνια να εξηγήσουμε σε non-technical stakeholders: αν παρακαμφθεί ένα επίπεδο, το επόμενο εξακολουθεί να στέκεται όρθιο.
Η οπτική NIS2 και ISO 27001
Εδώ μπαίνει το κομμάτι που, ομολογώ, με απασχόλησε περισσότερο από το ίδιο το τεχνικό feature.
Τεκμηρίωση ελέγχων για νέες κατηγορίες κινδύνου. Η ίδια η ανακοίνωση αναφέρει ρητά ότι δεν έχει εντοπιστεί κάποια compliance παράμετρος που χρειάζεται ιδιαίτερη προσοχή, πέρα από τη γενική σύσταση να το αξιολογήσετε ανάλογα με τον οργανισμό σας. Αυτό, με τη σειρά μου, το διαβάζω αλλιώς: σημαίνει ότι η ευθύνη τεκμηρίωσης πέφτει εξ ολοκλήρου πάνω μας. Αν χρησιμοποιείτε ήδη Copilot ή οποιοδήποτε AI assistant πάνω σε email data, η ύπαρξη αυτού του control είναι ένα τεχνικό μέτρο που πρέπει να αναφέρεται ρητά στο risk assessment του AI use case σας, όχι να θεωρείται δεδομένο επειδή «το ενεργοποίησε η Microsoft μόνη της».
Ασφάλεια δεδομένων και προστασία από μη εξουσιοδοτημένη κοινοποίηση. Σε ένα πλαίσιο NIS2 όπου καλούμαστε να τεκμηριώνουμε μέτρα κατά της εξαγωγής ή διαρροής πληροφορίας, ένα prompt injection attack που πετυχαίνει σημαίνει, στην ουσία, μη εξουσιοδοτημένη ενέργεια εκ μέρους ενός συστήματος που εμπιστευόμαστε. Το να μπορείτε να αποδείξετε ότι υπάρχει ένα control στο επίπεδο email, πριν καν φτάσει το περιεχόμενο σε οποιοδήποτε AI workflow, είναι ακριβώς το είδος του τεκμηριωμένου μέτρου που ζητάει ένα risk-based πρόγραμμα.
Παρακολούθηση και ανίχνευση (ISO 27001 A.8.16). Το γεγονός ότι υπάρχει πλέον ξεχωριστό, φιλτραρίσιμο Detection Technology σημαίνει ότι μπορείτε να ενσωματώσετε συγκεκριμένα hunting queries και alerts γι’ αυτή την κατηγορία απειλής μέσα στο SOC σας, αντί να περιμένετε να «κρυφτεί» μέσα στο γενικό phishing volume. Αυτό είναι ακριβώς η διαφορά ανάμεσα σε ένα monitoring πρόγραμμα που απλά καταγράφει αριθμούς, και σε ένα που πραγματικά ξέρει τι είδους απειλές αντιμετωπίζει.
Διαχείριση αλλαγής σε AI-enabled περιβάλλοντα. Αν βρίσκεστε σε φάση αδειοδότησης ή pilot για Copilot, αυτό το feature αξίζει να μπει σαν γραμμή στο δικό σας AI risk register, ως compensating control στο επίπεδο email, όχι σαν κάτι που απλά «συνέβη» στο tenant σας χωρίς να το ξέρετε.
Τι θα σας πρότεινα να ελέγξετε
Παρόλο που δεν απαιτείται καμία ενέργεια, δεν σημαίνει ότι δεν αξίζει να ρίξετε μια ματιά. Η δική μου λίστα, αν το τρέχατε σήμερα σε production tenant, θα ήταν κάπως έτσι:
- Ανοίξτε το Defender portal, αναπτύξτε το “Email & collaboration” στο αριστερό μενού και πηγαίνετε στο Explorer, ή απευθείας στο
https://security.microsoft.com/threatexplorerv3, και φιλτράρετε κατά Detection Technology = Prompt Injection Protection. Ακόμα κι αν δεν περιμένετε αποτελέσματα, καλό είναι να ξέρετε πού βρίσκεται το φίλτρο πριν το χρειαστείτε. - Ενημερώστε το SOC και το helpdesk σας για την ύπαρξη αυτής της νέας κατηγορίας, ώστε αν κάποιος χρήστης αναφέρει «χάθηκε ένα email» που στην πραγματικότητα καραντινώθηκε ως prompt injection, να μην το αντιμετωπίσουν σαν άσχετο false positive ticket.
- Αν τρέχετε ήδη Copilot ή οποιοδήποτε AI-powered email workflow, καταγράψτε αυτό το control ρητά στην τεκμηρίωση του use case, με ημερομηνία GA και αναφορά στο MC1422060.
- Ελέγξτε το Tenant Allow Block List σας, ώστε να ξέρετε ήδη πώς θα διαχειριστείτε τυχόν false positive πριν σας τηλεφωνήσει ο πρώτος θυμωμένος χρήστης.
Το συμπέρασμα
Αυτό που μου μένει από το MC1422060 δεν είναι τόσο το τεχνικό detail, όσο η παραδοχή που κρύβεται πίσω του: η Microsoft δέχεται πλέον, ανοιχτά, ότι το mailbox σας δεν έχει έναν αναγνώστη, έχει δύο. Και ο δεύτερος, το AI assistant, δεν διαβάζει με την ίδια κρίση, την ίδια καχυποψία, την ίδια «μυρωδιά» που αναπτύσσει ένας έμπειρος χρήστης μετά από χρόνια phishing simulations. Διαβάζει ό,τι του δοθεί, κυριολεκτικά.
Ως CISO, δεν το βλέπω σαν ένα ακόμα κουτάκι που μπαίνει tick στο compliance dashboard. Το βλέπω σαν την πρώτη επίσημη αναγνώριση ότι το attack surface του οργανισμού μας μεγάλωσε τη στιγμή που αποφασίσαμε να βάλουμε AI να διαβάζει την αλληλογραφία μας, και ότι τα εργαλεία άμυνας πρέπει να μεγαλώσουν μαζί του, όχι μετά από αυτό.
