CoSnitch: come una falla di Microsoft Copilot poteva mettere a rischio i dati collegati

La scoperta ha trasformato un’ipotesi teorica in una catena d’attacco pratica. Il parametro, da solo, non costituiva l’intera vulnerabilità: la sua pericolosità dipendeva dal modo in cui interagiva con il normale meccanismo di interrogazione di Copilot e con altre funzioni dell’assistente.

Le tre debolezze alla base di CoSnitch

1. Un parametro per l’esecuzione automatica

Copilot supportava il parametro non documentato autorun=1, capace di eseguire automaticamente un prompt al caricamento di una pagina in una sessione autenticata. Il parametro non prevedeva un passaggio evidente di consenso da parte dell’utente e costituiva il primo anello della catena.

2. Prompt injection silenziosa tramite un link

Associando autorun=1 al parametro di query q=, un attaccante poteva inserire un prompt in un link appositamente creato e farlo eseguire quando la vittima apriva il collegamento. Nella dimostrazione descritta, non era necessario che l’utente confermasse il prompt attraverso un’azione aggiuntiva chiaramente riconoscibile.

Il punto centrale è che l’attacco spostava l’istruzione da una conversazione avviata volontariamente dall’utente a un contenuto ricevuto attraverso una pagina o un messaggio esterno. Copilot elaborava quindi il testo dell’attaccante all’interno della sessione già autenticata della vittima.

3. Accesso ai dati collegati e alla memoria persistente

Il prompt iniettato poteva ordinare a Copilot di recuperare informazioni disponibili attraverso i servizi autorizzati dall’utente, codificare quei dati e inviarli a un endpoint controllato dall’attaccante sfruttando la capacità dell’assistente di recuperare contenuti tramite URL. La stessa catena poteva inoltre indurre Copilot a riassumere una pagina web controllata dall’attaccante, consentendo al contenuto malevolo della pagina di inserire istruzioni nella memoria persistente.

Il risultato andava oltre una normale prompt injection. CoSnitch combinava esecuzione automatica, accesso a informazioni autorizzate dall’utente e un canale di uscita controllato dall’attaccante. L’iniezione nella memoria persistente aggiungeva un ulteriore rischio: le istruzioni malevole avrebbero potuto influenzare interazioni successive, invece di limitarsi alla conversazione iniziale.

Quali dati potevano essere esposti?

CoSnitch non violava autonomamente ogni servizio collegato. Operava attraverso i permessi già disponibili nella sessione Copilot della vittima: l’esposizione potenziale dipendeva quindi dalle applicazioni connesse e dalle autorizzazioni dell’account.

Tra gli esempi riportati figurano Gmail, Google Drive, OneDrive, calendari, messaggi di posta elettronica, file e cronologia delle chat di Copilot.

Questa distinzione è importante per valutare il rischio. Un account con pochi servizi collegati offriva una superficie d’accesso più ridotta rispetto a un account il cui assistente poteva cercare tra informazioni personali o aziendali. La portata dell’attacco era dunque determinata dai permessi concessi all’assistente AI.

CVE, gravità, patch e sfruttamento

Varonis ha identificato la catena come CVE-2026-24301 e l’ha definita critica. Tuttavia, le fonti fornite non riportano un punteggio CVSS numerico verificabile; non è quindi corretto dedurre un valore specifico dalla sola classificazione “critica”.

Varonis ha dichiarato di aver segnalato CoSnitch a Microsoft nel dicembre 2025. Le informazioni disponibili indicano che Microsoft ha distribuito le patch il 18 agosto 2026. Alcuni materiali citano anche una mitigazione precedente, introdotta nel febbraio 2026, ma non chiariscono quale parte della catena abbia corretto né in cosa differisse tecnicamente dall’intervento di agosto.

Varonis ha riferito di non aver trovato prove dello sfruttamento di CoSnitch nel mondo reale. Le evidenze disponibili non dimostrano inoltre che CVE-2026-24301 sia comparsa nel catalogo Known Exploited Vulnerabilities della CISA, l’agenzia statunitense che mantiene l’elenco di riferimento delle vulnerabilità sfruttate attivamente. Questo significa che nel materiale esaminato non è documentato alcuno sfruttamento, non che si possa provare che non sia mai avvenuto.

Copilot Personal e Microsoft 365 Copilot Enterprise: cosa sappiamo

La ricerca descritta nelle fonti si concentra su Microsoft Copilot Personal. Il potenziale impatto poteva comunque arrivare a informazioni aziendali se una persona utilizzava Copilot Personal mentre era autenticata a servizi organizzativi o li aveva collegati all’account.

È però diverso dal dimostrare l’esistenza della stessa vulnerabilità in Microsoft 365 Copilot Enterprise. Una delle fonti fornite sottolinea esplicitamente questa distinzione, mentre un’altra pubblicazione secondaria sostiene un impatto aziendale più ampio. Le evidenze disponibili non bastano per risolvere il contrasto.

La conclusione prudente è che le organizzazioni dovrebbero verificare i permessi degli account collegati e lo stato degli aggiornamenti, senza descrivere la ricerca come una prova che Microsoft 365 Copilot Enterprise fosse affetto dalla medesima vulnerabilità.

Il rapporto con le precedenti ricerche di Varonis

CoSnitch si inserisce in una serie più ampia di analisi di Varonis sugli assistenti AI che possono agire sui dati già accessibili a un utente:

• Reprompt riguardava l’elusione dei guardrail di Copilot attraverso la ripetizione delle richieste.
• SearchLeak è stato descritto come un modo per trasformare Microsoft 365 Copilot Enterprise in uno strumento silenzioso di esfiltrazione dei dati.
• RovoBlast ha portato una preoccupazione simile nell’ambiente Atlassian Rovo: contenuti malevoli potevano orientare un assistente con accesso a informazioni aziendali a rivelarle o a compiere azioni su di esse.

L’elemento distintivo di CoSnitch è il metodo con cui è stato scoperto. I ricercatori non si sono limitati a inserire istruzioni malevole nei contenuti: hanno sfruttato le spiegazioni di Copilot sul motivo per cui l’esecuzione automatica avrebbe dovuto fallire, fino a individuare il meccanismo non documentato che rendeva possibile la catena d’attacco con un solo clic. È questa combinazione di auto-rivelazione dell’assistente, prompt injection, accesso ai dati autorizzati e manipolazione della memoria persistente ad aver reso il caso particolarmente significativo.