CoSnitch selitettynä: miten yksi linkin klikkaus saattoi avata pääsyn Copilotin yhdistettyihin tietoihin

Parametri yksinään ei muodostanut koko haavoittuvuutta. Sen merkitys syntyi siitä, miten se toimi yhdessä Copilotin normaalin kyselymekanismin ja muiden ominaisuuksien kanssa.

CoSnitchin kolme toisiinsa liittynyttä heikkoutta

1. Dokumentoimaton automaattisen suorituksen parametri

Copilot tuki dokumentoimatonta autorun=1-parametria, joka saattoi suorittaa kehotteen automaattisesti, kun sivu avattiin käyttäjän kirjautuneessa istunnossa. Käyttäjälle ei tällöin välttämättä esitetty tavallista, selvää suostumusvaihetta. Se muodosti hyökkäysketjun ensimmäisen lenkin.

2. Hiljainen kehotteen syöttäminen linkin kautta

Kun autorun=1 yhdistettiin Copilotin q=-kyselyparametriin, hyökkääjä pystyi upottamaan kehotteen erityisesti muotoiltuun linkkiin. Kun uhri avasi linkin, kehote voitiin käynnistää ilman ilmeistä erillistä hyväksyntää.

Tämä muutti tilanteen olennaisesti: kyse ei enää ollut keskustelusta, jonka käyttäjä tietoisesti aloitti, vaan ulkopuolisesta viestistä tai verkkosivusta toimitetusta ohjeesta. Copilot käsitteli hyökkääjän tekstiä käyttäjän olemassa olevassa istunnossa.

3. Pääsy yhdistettyihin tietoihin ja pysyvään muistiin

Syötetty kehote saattoi ohjata Copilotia hakemaan tietoja, joihin käyttäjän valtuutetut yhdistämiset antoivat pääsyn, koodaamaan tiedot ja lähettämään ne hyökkääjän hallitsemaan päätepisteeseen Copilotin URL-osoitteiden hakemiseen tarkoitetun toiminnon avulla. Sama ketju saattoi myös saada Copilotin tekemään yhteenvedon hyökkääjän hallitsemasta verkkosivusta. Sivun sisältämät haitalliset ohjeet voitiin tämän jälkeen yrittää kirjoittaa avustajan pysyvään muistiin.

Kyse oli siis laajemmasta kokonaisuudesta kuin tavallisesta prompt injection -hyökkäyksestä. Ketju yhdisti automaattisen suorituksen, käyttäjän valtuuttamien tietojen hyödyntämisen ja hyökkääjän hallitseman tiedonsiirtokanavan. Pysyvän muistin manipulointi lisäsi riskiä, koska haitalliset ohjeet saattoivat vaikuttaa myöhempiin keskusteluihin eivätkä vain alkuperäiseen istuntoon.

Mitä tietoja olisi voinut paljastua?

CoSnitch ei murtautunut itsenäisesti kaikkiin yhdistettyihin palveluihin. Se toimi Copilot-istunnolle jo annettujen käyttöoikeuksien puitteissa. Mahdollinen tietovuoto riippui siis siitä, mitä sovelluksia käyttäjä oli yhdistänyt tiliinsä ja millaiset valtuudet hän oli antanut Copilotille.

Raportoiduissa esimerkeissä mainittiin muun muassa Gmail, Google Drive, OneDrive, kalenterit, sähköpostit, tiedostot ja Copilotin keskusteluhistoria.

Tämä rajaus on tärkeä riskin arvioinnissa. Käyttäjän, jolla on vain vähän yhdistettyjä palveluja, tietopinta on pienempi kuin henkilön, jonka avustaja voi hakea tietoja laajasti henkilökohtaisista tai organisaation järjestelmistä. Hyökkäyksen ulottuvuus määräytyi siten pitkälti Copilotille myönnettyjen käyttöoikeuksien perusteella.

CVE, vakavuus ja Microsoftin korjaukset

Varonis nimesi ketjun tunnuksella CVE-2026-24301 ja kuvasi sitä kriittiseksi. Kriittinen-luokitus ei kuitenkaan yksin kerro tarkkaa CVSS-pistemäärää, eikä toimitettu aineisto vahvista CoSnitchille numeerista arvoa.

Varonis kertoi ilmoittaneensa CoSnitchista Microsoftille joulukuussa 2025. Saatavilla olevien raporttien mukaan Microsoft toimitti korjauksia 18. elokuuta 2026.

Osa toimitetusta materiaalista viittaa myös helmikuussa 2026 julkaistuun aiempaan lievennykseen. Lähteet eivät kuitenkaan täsmennä, mihin hyökkäysketjun osaan helmikuun toimi kohdistui tai miten se teknisesti erosi elokuun korjauksesta.

Varonis ei ilmoittanut havainneensa CoSnitchin käyttöä todellisissa hyökkäyksissä. Toimitettu aineisto ei myöskään osoita, että CVE-2026-24301 olisi lisätty Yhdysvaltain kyberturvallisuusviranomaisen CISA:n Known Exploited Vulnerabilities -luetteloon. Tämä tarkoittaa, ettei tarkastellussa aineistossa ole dokumentoitua tietoa luonnossa tapahtuneesta hyväksikäytöstä — ei sitä, ettei hyväksikäyttöä olisi voinut tapahtua.

Koskiko haavoittuvuus Microsoft 365 Copilot Enterprisea?

Tutkimus keskittyi lähteiden mukaan Microsoft Copilot Personaliin. Organisaation tietoja olisi silti voinut joutua riskialttiiksi, jos henkilö käytti Copilot Personalia ollessaan kirjautuneena organisaation palveluihin tai jos yritystilejä ja -palveluja oli yhdistetty avustajaan.

Tämä ei ole sama asia kuin itsenäisen haavoittuvuuden todistaminen Microsoft 365 Copilot Enterprisessa. Yksi toimitetuista lähteistä tekee eron nimenomaisesti, kun taas toinen toissijainen raportti väittää vaikutusten ulottuneen laajemmin yritysympäristöihin. Annettu näyttö ei riitä ratkaisemaan ristiriitaa.

Varovainen johtopäätös on, että organisaatioiden kannattaa tarkistaa yhdistettyjen tilien käyttöoikeudet ja päivitysten tila. Tutkimusta ei kuitenkaan pidä kuvata todisteeksi siitä, että Microsoft 365 Copilot Enterprise olisi ollut itsenäisesti saman haavoittuvuuden piirissä.

Yhteys Varonisin aiempaan tekoälytutkimukseen

CoSnitch liittyy Varonis Threat Labsin laajempaan tutkimuslinjaan, jossa tarkastellaan tekoälyavustajia, jotka voivat toimia käyttäjälle jo saatavilla olevien tietojen perusteella:

• Reprompt koski Copilotin suojakaiteiden kiertämistä toistamalla kyselyjä.
• SearchLeak kuvattiin löydöksenä, joka saattoi muuttaa Microsoft 365 Copilot Enterprisen huomaamattomaksi tietojen ulossiirtotyökaluksi.
• RovoBlast kohdistui Atlassian Rovoon. Siinä haitallinen sisältö saattoi ohjata yritystietoihin pääsevää avustajaa paljastamaan tietoja tai toimimaan niiden perusteella.

CoSnitchin erityispiirre oli löytötapa. Tutkijat eivät ainoastaan syöttäneet haitallisia ohjeita sisältöön, vaan käyttivät Copilotin omia selityksiä siitä, miksi automaattisen suorittamisen pitäisi epäonnistua. Näin he löysivät dokumentoimattoman mekanismin, joka teki hyökkäysketjusta mahdollisen.

Juuri tämä yhdistelmä — avustajan itse paljastamat tekniset yksityiskohdat, kehotteen manipulointi, valtuutettujen tietojen hyödyntäminen ja pysyvän muistin muuttaminen — teki CoSnitchista poikkeuksellisen tapauksen.