CoSnitch: Jak jediný klik mohl odhalit data připojená k Microsoft Copilotu

Varonis tento postup označil jako meta-hacking – využití odpovědí AI o jejích vlastních bezpečnostních mechanismech k hledání slabin v těchto mechanismech. Samotný parametr ale nepředstavoval celý problém. Kritickým se stal až v kombinaci s běžným způsobem zadávání dotazů v Copilotu a s jeho dalšími funkcemi.

Tři slabiny, které vytvořily CoSnitch

1. Nedokumentované automatické spuštění

Copilot podporoval nedokumentovaný parametr autorun=1, který mohl při načtení stránky automaticky spustit prompt v přihlášené relaci. Nešlo přitom o běžný, zřetelný krok, v němž by uživatel udělil nový souhlas. Tím vznikl první článek celého řetězce.

2. Tichá injekce promptu prostřednictvím odkazu

Po spojení s parametrem dotazu q= mohl autorun=1 vložit útočníkův prompt do speciálně vytvořeného odkazu a spustit jej ve chvíli, kdy oběť odkaz otevřela. V popsané demonstraci nemusela oběť potvrzovat prompt dalším nápadným kliknutím.

Útok se tím přesunul z konverzace, kterou uživatel sám zahájil, do instrukce doručené zvenčí – například prostřednictvím stránky nebo zprávy. Copilot následně zpracoval útočníkův text v kontextu existující relace oběti.

3. Přístup k propojeným datům a trvalé paměti

Vložený prompt mohl Copilotu zadat, aby vyhledal informace dostupné prostřednictvím autorizovaných propojení, zakódoval je a odeslal na koncový bod ovládaný útočníkem pomocí funkce pro načítání URL. Řetězec mohl rovněž přimět Copilot, aby shrnul webovou stránku kontrolovanou útočníkem. Škodlivé instrukce obsažené v jejím obsahu pak mohly být zapsány do trvalé paměti asistenta.

Nešlo tedy jen o běžnou prompt injection. CoSnitch spojovala automatické spuštění, přístup k uživatelem autorizovaným informacím a výstupní kanál pod kontrolou útočníka. Zneužití trvalé paměti přidávalo další riziko: škodlivé instrukce mohly ovlivňovat i pozdější interakce, nikoli pouze první napadenou konverzaci.

Jaká data mohla být ohrožena?

CoSnitch samo o sobě nepronikalo do každé propojené služby. Využívalo oprávnění, která už měla k dispozici Copilotova relace oběti. Rozsah možného úniku proto závisel na tom, jaké aplikace a účty měl uživatel připojené a autorizované. Mezi uváděné příklady patřily Gmail, Google Drive, OneDrive, kalendáře, e-maily, soubory a historie chatů v Copilotu.

Toto rozlišení je pro posouzení rizika zásadní. Uživatel s několika připojenými službami měl menší datovou plochu než člověk, jehož asistent mohl vyhledávat napříč osobními nebo firemními informacemi. Dosah útoku tedy určovala především oprávnění udělená AI asistentovi.

CVE, závažnost, opravy a skutečné zneužití

Varonis označila řetězec jako CVE-2026-24301 a popsala ho jako kritický. Dodané zdroje neposkytují ověřené číselné hodnocení CVSS, a konkrétní skóre proto nelze spolehlivě uvést.

Varonis podle dostupných informací oznámila CoSnitch Microsoftu v prosinci 2025. Microsoft měl opravy vydat 18. srpna 2026. Některé dodané materiály zmiňují také dřívější zmírnění problému v únoru 2026. Není však zřejmé, kterou část řetězce toto opatření řešilo ani jak se technicky lišilo od nápravy z 18. srpna.

Varonis uvedla, že nemá důkazy o zneužití CoSnitch ve volné přírodě. Dodané podklady rovněž nepotvrzují, že by se CVE-2026-24301 objevilo v katalogu Known Exploited Vulnerabilities americké agentury CISA. Znamená to, že v přezkoumaných materiálech není doloženo zneužití v reálných útocích – nikoli že k němu nikdy nedošlo.

Týkala se chyba také Microsoft 365 Copilot Enterprise?

Výzkum popsaný v dodaných zdrojích se zaměřoval na Microsoft Copilot Personal. Dopad mohl přesto zasáhnout firemní informace, pokud člověk používal Copilot Personal současně s přihlášením k podnikovým službám nebo s jejich propojením.

To ale není totéž jako potvrzení samostatné zranitelnosti v Microsoft 365 Copilot Enterprise. Jeden z dodaných zdrojů toto rozlišení výslovně uvádí, zatímco jiný sekundární text tvrdí širší dopad na podnikové prostředí. Předložené důkazy tento rozpor neumožňují jednoznačně vyřešit.

Opatrný závěr pro organizace proto zní: prověřit oprávnění propojených účtů a stav aktualizací, ale nepředstavovat výzkum jako důkaz, že Microsoft 365 Copilot Enterprise měl tutéž zranitelnost.

Jak CoSnitch zapadá do předchozího výzkumu Varonis

CoSnitch navazuje na širší sérii zjištění Varonis Threat Labs o AI asistentech, které mohou pracovat s informacemi dostupnými v rámci uživatelských oprávnění:

• Reprompt se týkal obcházení ochranných mechanismů Copilotu opakováním dotazů.
• SearchLeak byl popsán jako způsob, jak z Microsoft 365 Copilot Enterprise vytvořit nástroj pro tichý odliv dat.
• RovoBlast přenesl podobný problém do prostředí Atlassian Rovo, kde škodlivý obsah mohl nasměrovat asistenta s přístupem k podnikovým informacím k jejich odhalení nebo jinému nakládání s nimi.

Výjimečná byla především cesta, kterou CoSnitch výzkumníci odhalili. Nešlo jen o vložení škodlivých instrukcí do obsahu. Copilot byl prostřednictvím dotazování přiměn prozradit mechanismus, díky němuž mohl vzniknout útok jedním kliknutím. Právě kombinace tohoto sebeodhalení, injekce promptu, přístupu k autorizovaným datům a manipulace s trvalou pamětí učinila z CoSnitch pozoruhodný případ v zabezpečení AI asistentů.