研究揭SQL Copilot漏洞CVE-2026-65669 可令数据库用户变系统管理员

研究员在BlueHat Asia 2026披露SQL Copilot提权漏洞

研究员Johann Rehberger在新加坡举行的BlueHat Asia 2026发表演讲，内容涵盖他对Microsoft SQL Server Management Studio（SSMS）内置Copilot功能的研究。据其博客文章指出，这项研究涉及CVE-2026-65669，一个被Microsoft评为「严重」的SQL Server提权漏洞（Elevation of Privilege Vulnerability）。

Microsoft已就此发布修补程序，Rehberger提醒用户确保安装版本已更新。

Copilot以连接用户的权限执行指令

Rehberger发现，Copilot在SSMS中执行时，使用的是当时已连接查询窗口的用户权限。换言之，若用户以sysadmin身分连接，Copilot亦会以该sysadmin连接执行SQL指令。

其中一个工具ReadFromDatabase可读取数据库内容，理论上受「只读模式」限制，系统提示明确指示模型不应执行会改变数据库或服务器状态的查询。但Rehberger指出，系统提示指令并非真正的安全边界。

正规表达式防护可被绕过

透过逆向工程分析相关程序代码，Rehberger发现只读模式的执行依赖LocalSqlExecutionAccessChecker类别中一个以正规表达式（regex）为基础的分类器。他指出，黑名单式（blocklist）的安全控制本质脆弱，往往存在多种绕过方式。

例如，使用DECLARE @p sysname='sp_who'; EXEC @p这类写法即可绕过封锁清单，从而呼叫任意储存程序。配合sp_executesql，攻击者可执行动态构建的任意SQL查询，包括CREATE、INSERT、UPDATE、DELETE及DROP等写入操作。

间接提示注入可令数据外泄并夺取系统管理员权限

Rehberger示范了透过xp_dirtree及专门用于验证备份文件的RestoreVerifyBackupFile工具，将数据库内容逐行外泄至第三方服务器。

更关键的是，SQL Copilot支持以AGENTS.md及CONSTITUTION.md形式储存的「数据库指示」，这些指示以扩展属性（extended property）形式透过sp_addextendedproperty储存程序加入，并会被Copilot自动读入上下文。Rehberger指出，修改这些元数据所需的权限，可以低于日后使用Copilot的用户权限，令低权限用户能够影响高权限用户的AI代理行为。

在最终示范中，一名拥有db_owner权限的用户植入恶意的「数据库宪法」，Copilot读入后，经间接提示注入触发只读模式绕过，以受害者的SQL连接执行任意T/SQL指令，最终将攻击者加入sysadmin角色，完成由db_owner提升至系统管理员的完整攻击链。

Rehberger吁将只读防护视为安全不变量

Rehberger总结指出，AI代理的只读防护必须是真正的安全不变量（如权限控制），而非仅靠模型指令或脆弱的SQL分类器。他亦建议，若Copilot以高权限数据库连接运作，代理控制一旦失效，影响可波及整个系统。

他并指出，持久化指示如AGENTS.md及CONSTITUTION.md为数据库权限模型引入新的信任关系，扩展属性不再只是元数据，而是AI助手会遵循的指令。此事件涉及提示注入及AI代理的安全风险，与早前MCP Python SDK的OAuth漏洞同属AI代理被滥用的案例。