Angrebet blev fundet ved at spørge Copilot

Opdagelsen begyndte ikke med klassisk reverse engineering af Copilots kode. Varonis-forskeren Lior Adar spurgte i stedet gentagne gange Copilot, hvorfor et hypotetisk angreb med automatisk udførelse ikke burde kunne fungere.

Copilots afvisninger gav ifølge forskerne gradvist oplysninger om assistentens egne sikkerhedsforanstaltninger. Til sidst afslørede den den udokumenterede URL-parameter autorun=1. Varonis kaldte metoden meta-hacking: at bruge en AI-assistents forklaringer om dens egne forsvar til at finde svagheder i netop disse forsvar.

Fundet gjorde en teoretisk angrebsidé til en praktisk kæde. autorun=1 var ikke i sig selv hele problemet; risikoen opstod i samspillet med Copilots normale forespørgselsmekanisme og øvrige funktioner.

De tre svagheder bag CoSnitch

1. En udokumenteret parameter til automatisk udførelse

Copilot understøttede en udokumenteret parameter, autorun=1, som kunne få en prompt til at køre automatisk, når en side blev indlæst i en godkendt session. Parameteren blev ikke præsenteret som et almindeligt trin, hvor brugeren tydeligt skulle give sit samtykke. Det udgjorde det første led i angrebskæden.

2. Skjult prompt injection via et manipuleret link

Sammen med Copilots q=-parameter kunne autorun=1 bruges til at placere en prompt i et særligt udformet link. Når offeret åbnede linket, blev prompten udløst uden en tydelig ekstra godkendelse i den demonstration, der blev beskrevet.

Det ændrede angrebet fra en samtale, som brugeren selv havde startet, til en instruktion leveret gennem en ekstern side eller besked. Copilot behandlede derefter angriberens tekst i offerets eksisterende session.

3. Adgang til forbundne data og permanent hukommelse

Den indsatte prompt kunne instruere Copilot i at hente oplysninger, som var tilgængelige via brugerens godkendte forbindelser, kode oplysningerne og sende dem til et slutpunkt, som angriberen kontrollerede, ved hjælp af Copilots funktion til at hente indhold fra URL’er. Den samme kæde kunne få Copilot til at opsummere en angriberstyret webside, så skadelige instruktioner i sidens indhold potentielt blev skrevet til assistentens permanente hukommelse.

Resultatet var dermed mere omfattende end almindelig prompt injection. Kæden kombinerede automatisk udførelse, adgang til brugerautoriserede oplysninger og en udgangskanal under angriberens kontrol. Manipulation af den permanente hukommelse tilføjede en yderligere risiko, fordi instruktionerne kunne påvirke senere samtaler i stedet for kun den første interaktion.

Hvilke oplysninger kunne være i fare?

CoSnitch brød ikke selvstændigt ind i alle forbundne tjenester. Angrebet arbejdede gennem de tilladelser, der allerede var tilgængelige for offerets Copilot-session. Den mulige eksponering afhang derfor af, hvilke applikationer og forbindelser kontoen havde godkendt.

De rapporterede eksempler omfattede Gmail, Google Drive, OneDrive, kalendere, e-mails, filer og Copilot-chat-historik.

En bruger med få forbundne tjenester havde dermed en mindre dataflade end en bruger, hvis assistent kunne søge på tværs af personlige eller organisatoriske oplysninger. Angrebets rækkevidde blev i praksis bestemt af de rettigheder, brugeren havde givet AI-assistenten.

CVE, alvorlighed, rettelser og udnyttelse

Varonis identificerede kæden som CVE-2026-24301 og kaldte den kritisk. De kilder, der ligger til grund for denne artikel, angiver imidlertid ikke en pålidelig numerisk CVSS-vurdering. En bestemt score bør derfor ikke udledes alene af betegnelsen »kritisk«.

Varonis oplyste, at CoSnitch blev rapporteret til Microsoft i december 2025, og den tilgængelige rapportering siger, at Microsoft udsendte rettelser den 18. august 2026. Noget af det leverede materiale omtaler også en tidligere afhjælpning i februar 2026. Det fremgår dog ikke tilstrækkeligt tydeligt, hvilken del af angrebskæden denne afhjælpning dækkede, eller hvordan den teknisk adskilte sig fra august-rettelsen.

Varonis har rapporteret, at man ikke har set tegn på, at CoSnitch blev udnyttet i den virkelige verden. Det leverede materiale dokumenterer heller ikke, at CVE-2026-24301 stod på CISA’s katalog over kendte aktivt udnyttede sårbarheder. Det betyder, at der ikke er dokumenteret udnyttelse i de gennemgåede kilder — ikke at det kan bevises, at udnyttelse aldrig har fundet sted.

Ramte CoSnitch Microsoft 365 Copilot Enterprise?

Undersøgelsen i de leverede kilder fokuserede på Microsoft Copilot Personal. Den mulige konsekvens kunne dog omfatte organisatoriske oplysninger, hvis en person brugte Copilot Personal, mens vedkommende var logget ind på eller havde forbindelse til virksomhedstjenester.

Det er ikke det samme som at fastslå, at Microsoft 365 Copilot Enterprise i sig selv havde den samme sårbarhed. En af de leverede kilder understreger denne skelnen, mens en anden sekundær rapport hævder, at påvirkningen var bredere. Det tilgængelige materiale er ikke tilstrækkeligt til at afgøre konflikten.

Den forsigtige konklusion er derfor, at organisationer bør gennemgå forbundne konti, tilladelser og opdateringsstatus — men ikke beskrive undersøgelsen som et bevis på, at Microsoft 365 Copilot Enterprise var ramt af den samme fejl.

Forbindelsen til Varonis’ tidligere AI-forskning

CoSnitch indgår i en bredere række af Varonis-fund om AI-assistenter, der kan handle på oplysninger, som allerede er tilgængelige for brugeren:

• Reprompt handlede om at omgå Copilots sikkerhedsbegrænsninger ved at gentage forespørgsler.
• SearchLeak blev beskrevet som en metode, der kunne gøre Microsoft 365 Copilot Enterprise til et værktøj til skjult dataeksfiltration.
• RovoBlast rettede et lignende fokus mod Atlassian Rovo, hvor ondsindet indhold kunne styre en assistent med adgang til virksomhedsinformation til at afsløre eller handle på disse data.

Det særlige ved CoSnitch var opdagelsesmetoden. Forskerne nøjedes ikke med at placere ondsindede instruktioner i indhold; de brugte Copilots egne forklaringer på, hvorfor automatisk udførelse burde være umulig, til at finde den udokumenterede mekanisme, der gjorde angrebskæden mulig.

Det var kombinationen af selvafsløring, prompt injection, adgang til godkendte data og manipulation af permanent hukommelse, der gjorde CoSnitch bemærkelsesværdig.

Angrebet blev fundet ved at spørge Copilot

Opdagelsen begyndte ikke med klassisk reverse engineering af Copilots kode. Varonis-forskeren Lior Adar spurgte i stedet gentagne gange Copilot, hvorfor et hypotetisk angreb med automatisk udførelse ikke burde kunne fungere.

Copilots afvisninger gav ifølge forskerne gradvist oplysninger om assistentens egne sikkerhedsforanstaltninger. Til sidst afslørede den den udokumenterede URL-parameter autorun=1. Varonis kaldte metoden meta-hacking: at bruge en AI-assistents forklaringer om dens egne forsvar til at finde svagheder i netop disse forsvar.

Fundet gjorde en teoretisk angrebsidé til en praktisk kæde. autorun=1 var ikke i sig selv hele problemet; risikoen opstod i samspillet med Copilots normale forespørgselsmekanisme og øvrige funktioner.

De tre svagheder bag CoSnitch

1. En udokumenteret parameter til automatisk udførelse

Copilot understøttede en udokumenteret parameter, autorun=1, som kunne få en prompt til at køre automatisk, når en side blev indlæst i en godkendt session. Parameteren blev ikke præsenteret som et almindeligt trin, hvor brugeren tydeligt skulle give sit samtykke. Det udgjorde det første led i angrebskæden.

2. Skjult prompt injection via et manipuleret link

Sammen med Copilots q=-parameter kunne autorun=1 bruges til at placere en prompt i et særligt udformet link. Når offeret åbnede linket, blev prompten udløst uden en tydelig ekstra godkendelse i den demonstration, der blev beskrevet.

Det ændrede angrebet fra en samtale, som brugeren selv havde startet, til en instruktion leveret gennem en ekstern side eller besked. Copilot behandlede derefter angriberens tekst i offerets eksisterende session.

3. Adgang til forbundne data og permanent hukommelse

Den indsatte prompt kunne instruere Copilot i at hente oplysninger, som var tilgængelige via brugerens godkendte forbindelser, kode oplysningerne og sende dem til et slutpunkt, som angriberen kontrollerede, ved hjælp af Copilots funktion til at hente indhold fra URL’er. Den samme kæde kunne få Copilot til at opsummere en angriberstyret webside, så skadelige instruktioner i sidens indhold potentielt blev skrevet til assistentens permanente hukommelse.

Resultatet var dermed mere omfattende end almindelig prompt injection. Kæden kombinerede automatisk udførelse, adgang til brugerautoriserede oplysninger og en udgangskanal under angriberens kontrol. Manipulation af den permanente hukommelse tilføjede en yderligere risiko, fordi instruktionerne kunne påvirke senere samtaler i stedet for kun den første interaktion.

Hvilke oplysninger kunne være i fare?

CoSnitch brød ikke selvstændigt ind i alle forbundne tjenester. Angrebet arbejdede gennem de tilladelser, der allerede var tilgængelige for offerets Copilot-session. Den mulige eksponering afhang derfor af, hvilke applikationer og forbindelser kontoen havde godkendt.

De rapporterede eksempler omfattede Gmail, Google Drive, OneDrive, kalendere, e-mails, filer og Copilot-chat-historik.

En bruger med få forbundne tjenester havde dermed en mindre dataflade end en bruger, hvis assistent kunne søge på tværs af personlige eller organisatoriske oplysninger. Angrebets rækkevidde blev i praksis bestemt af de rettigheder, brugeren havde givet AI-assistenten.

CVE, alvorlighed, rettelser og udnyttelse

Varonis identificerede kæden som CVE-2026-24301 og kaldte den kritisk. De kilder, der ligger til grund for denne artikel, angiver imidlertid ikke en pålidelig numerisk CVSS-vurdering. En bestemt score bør derfor ikke udledes alene af betegnelsen »kritisk«.

Varonis oplyste, at CoSnitch blev rapporteret til Microsoft i december 2025, og den tilgængelige rapportering siger, at Microsoft udsendte rettelser den 18. august 2026. Noget af det leverede materiale omtaler også en tidligere afhjælpning i februar 2026. Det fremgår dog ikke tilstrækkeligt tydeligt, hvilken del af angrebskæden denne afhjælpning dækkede, eller hvordan den teknisk adskilte sig fra august-rettelsen.

Varonis har rapporteret, at man ikke har set tegn på, at CoSnitch blev udnyttet i den virkelige verden. Det leverede materiale dokumenterer heller ikke, at CVE-2026-24301 stod på CISA’s katalog over kendte aktivt udnyttede sårbarheder. Det betyder, at der ikke er dokumenteret udnyttelse i de gennemgåede kilder — ikke at det kan bevises, at udnyttelse aldrig har fundet sted.

Ramte CoSnitch Microsoft 365 Copilot Enterprise?

Undersøgelsen i de leverede kilder fokuserede på Microsoft Copilot Personal. Den mulige konsekvens kunne dog omfatte organisatoriske oplysninger, hvis en person brugte Copilot Personal, mens vedkommende var logget ind på eller havde forbindelse til virksomhedstjenester.

Det er ikke det samme som at fastslå, at Microsoft 365 Copilot Enterprise i sig selv havde den samme sårbarhed. En af de leverede kilder understreger denne skelnen, mens en anden sekundær rapport hævder, at påvirkningen var bredere. Det tilgængelige materiale er ikke tilstrækkeligt til at afgøre konflikten.

Den forsigtige konklusion er derfor, at organisationer bør gennemgå forbundne konti, tilladelser og opdateringsstatus — men ikke beskrive undersøgelsen som et bevis på, at Microsoft 365 Copilot Enterprise var ramt af den samme fejl.

Forbindelsen til Varonis’ tidligere AI-forskning

CoSnitch indgår i en bredere række af Varonis-fund om AI-assistenter, der kan handle på oplysninger, som allerede er tilgængelige for brugeren:

• Reprompt handlede om at omgå Copilots sikkerhedsbegrænsninger ved at gentage forespørgsler.
• SearchLeak blev beskrevet som en metode, der kunne gøre Microsoft 365 Copilot Enterprise til et værktøj til skjult dataeksfiltration.
• RovoBlast rettede et lignende fokus mod Atlassian Rovo, hvor ondsindet indhold kunne styre en assistent med adgang til virksomhedsinformation til at afsløre eller handle på disse data.

Det særlige ved CoSnitch var opdagelsesmetoden. Forskerne nøjedes ikke med at placere ondsindede instruktioner i indhold; de brugte Copilots egne forklaringer på, hvorfor automatisk udførelse burde være umulig, til at finde den udokumenterede mekanisme, der gjorde angrebskæden mulig.

Det var kombinationen af selvafsløring, prompt injection, adgang til godkendte data og manipulation af permanent hukommelse, der gjorde CoSnitch bemærkelsesværdig.