CoSnitch : comment un simple clic pouvait détourner Microsoft Copilot

Cette découverte a transformé une hypothèse en chaîne d’attaque exploitable. Le paramètre ne constituait pas, à lui seul, l’ensemble de la vulnérabilité : son importance venait de son interaction avec le mécanisme de requête habituel de Copilot et avec d’autres fonctions de l’assistant.

Les trois maillons de CoSnitch

1. Un paramètre d’exécution automatique non documenté

Copilot acceptait le paramètre autorun=1, capable de lancer automatiquement un prompt au chargement d’une page dans une session authentifiée. Ce mécanisme ne se présentait pas comme une étape classique de consentement explicite de l’utilisateur : il formait donc le premier maillon de l’attaque.

2. Une injection de prompt déclenchée par un lien

Associé au paramètre de requête q=, autorun=1 permettait d’intégrer un prompt dans un lien spécialement forgé et de le déclencher lorsque la victime ouvrait ce lien. Dans la démonstration rapportée, celle-ci n’avait pas à valider le prompt par une interaction supplémentaire clairement visible.

Le risque est important : l’attaque ne dépendait plus d’une conversation volontairement lancée par l’utilisateur. L’instruction pouvait arriver par une page externe ou un message, puis être traitée par Copilot dans la session déjà ouverte de la victime.

3. L’accès aux données connectées et à la mémoire persistante

Le prompt injecté pouvait demander à Copilot de récupérer des informations accessibles via les connexions autorisées de la victime, de les encoder, puis de les transmettre à un point de terminaison contrôlé par l’attaquant grâce à la capacité de Copilot à récupérer le contenu d’URL.

La même chaîne pouvait également amener Copilot à résumer une page web contrôlée par l’attaquant. Le contenu de cette page pouvait alors contenir des instructions malveillantes destinées à être inscrites dans la mémoire persistante de l’assistant.

CoSnitch dépassait ainsi le cadre d’une simple injection de prompt. La chaîne combinait exécution automatique, accès à des informations autorisées par l’utilisateur et canal de sortie contrôlé par l’attaquant. L’injection dans la mémoire persistante ajoutait un risque supplémentaire : les instructions malveillantes pouvaient influencer des échanges ultérieurs, au lieu de ne toucher que la conversation initiale.

Quelles données pouvaient être exposées ?

CoSnitch ne pénétrait pas directement dans tous les services connectés. L’attaque fonctionnait avec les autorisations déjà accordées à la session Copilot de la victime. L’étendue du risque dépendait donc des applications reliées au compte et des permissions accordées à l’assistant.

Les exemples rapportés incluaient notamment Gmail, Google Drive, OneDrive, les calendriers, les e-mails, les fichiers et l’historique des conversations Copilot.

Cette nuance est essentielle pour évaluer le risque. Un compte connecté à peu de services offrait une surface d’accès plus limitée qu’un compte permettant à l’assistant de rechercher dans un vaste ensemble de données personnelles ou professionnelles. La portée de l’attaque dépendait donc directement des droits accordés à l’IA.

CVE, gravité, correctifs et exploitation

Varonis a identifié la chaîne sous la référence CVE-2026-24301 et l’a qualifiée de critique. Les documents fournis ne permettent toutefois pas d’établir un score CVSS chiffré fiable : il ne faut donc pas déduire un nombre précis de la seule qualification « critique ».

Varonis indique avoir signalé CoSnitch à Microsoft en décembre 2025. Les informations disponibles font état d’une première mesure d’atténuation en février 2026, puis de correctifs déployés le 18 août 2026. Les sources fournies ne précisent pas quelle partie exacte de la chaîne concernait la mesure de février ni en quoi elle différait techniquement de la remédiation d’août.

Varonis n’a rapporté aucun élément prouvant une exploitation de CoSnitch dans la nature. Les éléments examinés ici ne démontrent pas non plus que CVE-2026-24301 figurait dans le catalogue des vulnérabilités exploitées connues de la CISA, l’agence américaine chargée notamment de suivre les failles exploitées. Cela signifie qu’aucune exploitation documentée n’est établie par les sources consultées — et non qu’une exploitation n’a jamais eu lieu.

Copilot Personal et Microsoft 365 Copilot Enterprise : quelle portée ?

Les recherches décrites dans les sources portent sur Microsoft Copilot Personal. Le risque pouvait néanmoins concerner des informations professionnelles si une personne utilisait Copilot Personal tout en étant authentifiée auprès de services d’entreprise ou en y ayant connecté son compte.

Cette situation ne suffit pas à établir l’existence d’une faille indépendante dans Microsoft 365 Copilot Enterprise. Une des sources établit explicitement cette distinction, tandis qu’un autre article secondaire évoque un impact plus large. Les éléments fournis ne permettent pas de trancher cette divergence.

La conclusion prudente pour les organisations consiste à vérifier les permissions des comptes connectés et l’état des mises à jour, sans présenter la recherche comme la preuve que Microsoft 365 Copilot Enterprise était lui-même touché par la même vulnérabilité.

La place de CoSnitch dans les recherches de Varonis

CoSnitch s’inscrit dans une série de travaux de Varonis sur les assistants d’IA capables d’agir sur des informations déjà accessibles à un utilisateur :

• Reprompt concernait le contournement de certaines protections de Copilot en répétant les requêtes.
• SearchLeak a été décrit comme une technique pouvant transformer Microsoft 365 Copilot Enterprise en outil discret d’exfiltration.
• RovoBlast a transposé une préoccupation similaire à Atlassian Rovo : du contenu malveillant pouvait orienter un assistant ayant accès à des informations d’entreprise afin qu’il les divulgue ou agisse dessus.

La particularité de CoSnitch tient à sa méthode de découverte. Les chercheurs ne se sont pas contentés d’injecter des instructions malveillantes dans du contenu : ils ont exploité les explications de Copilot sur les raisons pour lesquelles l’exécution automatique aurait dû échouer afin de trouver le mécanisme non documenté qui rendait la chaîne possible.

C’est cette combinaison — auto-divulgation de l’assistant, injection de prompt, accès à des données autorisées et manipulation de la mémoire persistante — qui rend CoSnitch particulièrement notable.