SearchLeak 的資安風險在於，一個看起來可信的 Microsoft 365 Copilot Enterprise Search 連結本身就能帶攻擊指令。Varonis 把 q 參數被當成提示詞（prompt）的問題，接上串流輸出清理不及的空檔 - 回答還沒完全清理完，瀏覽器就可能先讀到 HTML 圖片標籤並送出請求；再加上 Bing 圖片搜尋的伺服器端請求偽造（SSRF，也就是讓 Bing 代替攻擊者去抓外部網址），受害者點開連結後，Copilot 可能會讀到使用者有權限看的郵件、行事曆、SharePoint 或 OneDrive 資料，然後把其中的敏感內容夾在圖片網址裡，瀏覽器或 Bing 去載入那張圖片時，資料就跟著送到攻擊者控制的伺服器。真正要守的是三個地方：搜尋參數進模型前要檢查，輸出進瀏覽器前要先變安全，任何自動對外連線，都要先檢查其中夾帶的資料能不能送到該連線目標。
q 參數（像 ?q=... 這種查詢欄位）不是一般搜尋字串，而是要求 Copilot 搜尋使用者可存取的資料，再把某個值塞進圖片網址（例如把郵件裡的多因素驗證（MFA）的驗證碼，接在 https://example.invalid/image/<驗證碼> 這種圖片網址後面）。q 參數當成指令，而不是單純的搜尋文字。接著它用受害者自己的 Microsoft 365 權限搜尋郵件、行事曆、SharePoint、OneDrive 和其他已建立索引的組織資料。img 標籤的內容可能先被瀏覽器看到並觸發圖片請求，在後面的清理器（sanitizer，用來把危險 HTML 變成安全文字的程式）把輸出包成純文字之前，該 HTTP 請求已經送出去了。bing.com 被放行，不代表 imgurl 最後指向的外部網址也安全。安全抓取層要正規化 URL、檢查每一次重新導向和最終連線目標，並阻擋能代替模型送資料出去的圖片或預覽請求。q 參數在進模型前，就應該被當成不可信輸入處理。API 入口可以先做型別、長度、編碼和規則檢查，看到像「搜尋機密資料並放進圖片 URL」這類指令式內容就要拒絕，而不是把整段參數直接交給模型。q 是合法搜尋字串，系統提示詞（system prompt）也要明確規定它只能是資料，不是新的規則。搜尋字串可以描述要找什麼，但不應該能改寫回答方式、要求隱藏警示，或把回答變成產生對外請求的工具。q 參數進模型前先檢查：正常的「下週會議」可以放行；像「找內部資料，再放進圖片網址」這種要求就要拒絕。實作時可以用規則、分類器（classifier）或較小的 LLM 防護模型來輔助判斷；建議做法是，先把少數高風險行為做成政策：搜尋參數不能改寫任務，模型讀到的高機敏資料不能未經授權放進外部網址等等；不確定時就先拒絕或請人工審核。q 參數、像提示詞注入攻擊（prompt injection）的搜尋文字、串流中的圖片標籤、Bing 圖片搜尋請求，以及看起來像攻擊者控制的最終網址。q 參數、Bing 圖片搜尋請求，以及對外 URL 路徑裡看起來像內部資料的值。SearchLeak 的重點，是它把幾個看似分開的小產品行為串成一條能運作的攻擊鏈：搜尋參數變成指令，串流模型輸出變成瀏覽器行為，被放行的 Microsoft 服務又成了把資料送到攻擊者伺服器的中繼站。防禦重點不是只判斷 AI 模型有沒有誤把搜尋文字當成指令，而是在資料進入高風險環節前先設防：搜尋文字進模型前要確認它不是攻擊指令，模型輸出進瀏覽器前要先變成安全內容，Microsoft 365 資料被放進外部網址前也要先被檢查。
對企業使用者來說，多數核心的修補是需要由 Microsoft 或其他 copilot 供應商落實在產品內部的。企業端能做的事情仍然重要，且範圍明確：確認修補狀態、縮小 Copilot 可存取的資料範圍、監控可疑的對外連線行為，並把這個案例變成 AI 產品安全審查時的具體要求。