CoSnitch Dijelaskan: Bagaimana Satu Klik Dapat Membuka Akses ke Data di Microsoft Copilot

Temuan itu mengubah serangan yang semula teoretis menjadi rangkaian yang praktis. Parameter autorun=1 bukan satu-satunya masalah; risikonya muncul karena parameter tersebut dapat berinteraksi dengan mekanisme kueri dan kemampuan Copilot lainnya.

Tiga kelemahan yang membentuk CoSnitch

1. Parameter eksekusi otomatis yang tersembunyi

Copilot mendukung parameter URL autorun=1 yang tidak didokumentasikan secara terbuka. Dalam sesi yang sudah terautentikasi, parameter ini dapat menyebabkan prompt berjalan otomatis ketika halaman dimuat.

Karena proses tersebut tidak tampil sebagai langkah persetujuan pengguna yang jelas, autorun=1 menjadi mata rantai pertama dalam serangan.

2. Injeksi prompt secara diam-diam melalui tautan

Ketika digabungkan dengan parameter kueri Copilot q=, autorun=1 memungkinkan penyerang memasukkan prompt ke dalam tautan yang telah dimodifikasi. Saat korban membuka tautan itu, prompt dapat langsung dijalankan tanpa interaksi persetujuan tambahan yang terlihat jelas.

Dengan demikian, serangan tidak lagi bergantung pada percakapan yang sengaja dimulai pengguna. Instruksi penyerang dapat datang dari tautan dalam pesan, halaman web, atau konten lain, lalu diproses oleh Copilot menggunakan sesi korban yang sudah aktif.

3. Akses data terhubung dan manipulasi memori persisten

Prompt yang disisipkan dapat mengarahkan Copilot untuk mengambil informasi yang tersedia melalui koneksi dan izin yang telah diberikan pengguna. Data tersebut kemudian dapat dikodekan dan dikirim ke titik akhir yang dikendalikan penyerang melalui kemampuan Copilot untuk mengambil konten dari URL.

Rangkaian yang sama juga dapat meminta Copilot merangkum halaman web yang dikendalikan penyerang. Instruksi jahat yang berada di halaman itu berpotensi ditulis ke memori persisten Copilot, sehingga dapat memengaruhi percakapan berikutnya—bukan hanya sesi awal.

Risikonya menjadi lebih luas daripada injeksi prompt biasa karena menggabungkan tiga unsur: eksekusi otomatis, akses terhadap data yang sudah diotorisasi pengguna, dan saluran keluaran yang dikendalikan penyerang.

Data apa saja yang berpotensi terekspos?

CoSnitch tidak secara mandiri membobol setiap layanan yang terhubung. Serangan bekerja melalui izin yang sudah tersedia pada sesi Copilot korban. Karena itu, luas paparan bergantung pada aplikasi dan akun yang telah dihubungkan.

Contoh data dan layanan yang disebut dalam laporan antara lain:

• Gmail;
• Google Drive;
• OneDrive;
• kalender;
• email;
• file; dan
• riwayat percakapan Copilot.

Perbedaan ini penting saat menilai risiko. Pengguna dengan sedikit layanan terhubung memiliki permukaan akses yang lebih kecil dibandingkan pengguna yang mengizinkan asistennya mencari informasi pribadi maupun organisasi dari banyak sumber.

CVE, tingkat keparahan, dan status perbaikan

Varonis mengidentifikasi CoSnitch sebagai CVE-2026-24301 dan mengklasifikasikannya sebagai kritis. Akan tetapi, materi sumber yang tersedia tidak memberikan skor CVSS numerik yang dapat diandalkan. Karena itu, skor tertentu tidak boleh disimpulkan hanya dari label “kritis”.

Varonis mengatakan telah melaporkan CoSnitch kepada Microsoft pada Desember 2025. Laporan yang tersedia menyebut Microsoft mengirimkan patch pada 18 Agustus 2026.

Sebagian materi juga menyebut adanya mitigasi lebih awal pada Februari 2026. Namun, sumber yang tersedia belum menjelaskan secara teknis bagian mana dari rangkaian yang ditangani pada Februari, maupun perbedaannya dengan perbaikan pada Agustus.

Varonis melaporkan tidak menemukan bukti bahwa CoSnitch telah dieksploitasi di dunia nyata. Materi yang ditinjau juga tidak membuktikan bahwa CVE-2026-24301 tercantum dalam Known Exploited Vulnerabilities Catalog milik CISA. Artinya, belum ada eksploitasi yang terdokumentasi dalam sumber yang tersedia—bukan bukti bahwa eksploitasi tidak pernah terjadi.

Apakah Microsoft 365 Copilot Enterprise juga terdampak?

Penelitian yang dijelaskan dalam sumber-sumber utama berfokus pada Microsoft Copilot Personal. Dampaknya tetap dapat menyentuh informasi organisasi apabila seseorang menggunakan Copilot Personal ketika sedang terautentikasi ke layanan perusahaan atau menghubungkannya dengan layanan tersebut.

Namun, hal itu berbeda dari bukti bahwa Microsoft 365 Copilot Enterprise sendiri memiliki kerentanan yang sama. Salah satu sumber menegaskan perbedaan tersebut, sementara laporan sekunder lain mengklaim dampak yang lebih luas. Bukti yang tersedia belum cukup untuk menyelesaikan perbedaan itu.

Kesimpulan yang paling hati-hati adalah organisasi perlu memeriksa izin akun yang terhubung dan memastikan pembaruan keamanan telah diterapkan, tetapi tidak seharusnya menyebut penelitian ini sebagai bukti bahwa Microsoft 365 Copilot Enterprise secara independen terdampak oleh CoSnitch.

Kaitannya dengan riset AI Varonis sebelumnya

CoSnitch merupakan bagian dari rangkaian penelitian Varonis tentang asisten AI yang dapat bertindak atas informasi yang sudah tersedia bagi pengguna. Temuan sebelumnya meliputi:

• Reprompt, yang dilaporkan dapat melewati pagar pengaman Copilot dengan mengulang kueri;
• SearchLeak, yang disebut dapat mengubah Microsoft 365 Copilot Enterprise menjadi alat eksfiltrasi data secara diam-diam; dan
• RovoBlast, yang menunjukkan kekhawatiran serupa pada Atlassian Rovo—konten berbahaya dapat mengarahkan asisten yang memiliki akses ke informasi perusahaan untuk membocorkan atau bertindak atas data tersebut.

Ciri khas CoSnitch terletak pada cara penemuannya. Peneliti tidak hanya menyisipkan instruksi jahat ke dalam konten, tetapi menggunakan penjelasan Copilot tentang alasan eksekusi otomatis seharusnya gagal untuk menemukan mekanisme tersembunyi yang membuat serangan itu mungkin.

Kombinasi antara pengungkapan oleh AI itu sendiri, injeksi prompt, akses ke data yang telah diotorisasi, dan manipulasi memori persisten inilah yang membuat CoSnitch menjadi temuan penting dalam keamanan asisten AI.