CoSnitchはMicrosoft Copilot Personalの3つの弱点を組み合わせた1クリック攻撃で、CVE 2026 24301として追跡されています。Microsoftは2026年8月18日にパッチを提供しましたが、提示された資料から数値のCVSSスコアは確認できません。[5][6][7] Varonisの研究者Lior Adar氏は、攻撃が成立しない理由をCopilotに繰り返し尋ねる「メタハッキング」によって、未公開のautorun=1パラメーターを突き止めました。 autorun=1とq=を組み合わせると、細工したリンクから攻撃者のプロンプトを自動実行し、認証済みセッションに接続されたサービスのデータを取得・送信したり、Copilotの永続メモリに悪意ある指示を残したりできる可能性がありました。 What were Varonis Threat Labs’ three chained “CoSnitch” vulnerabilities in Microsoft Copilot Personal—how did researcher Lior Adar use “meta An editorial visualization of CoSnitch, the Microsoft Copilot attack chain uncovered by Varonis Threat Labs. AI プロンプト Create a landscape editorial hero image for this Studio Global article: What were Varonis Threat Labs’ three chained “CoSnitch” vulnerabilities in Microsoft Copilot Personal—how did researcher Lior Adar use “meta. Article summary: CoSnitch was a chained, one-click attack against Microsoft Copilot Personal: a malicious link could cause Copilot to run an attacker-controlled prompt in the victim’s authenticated session, collect connected-service data. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
openai.com CoSnitch（コースニッチ）は、単独のバグではありません。Microsoft Copilot Personalに存在した3つの弱点が連鎖し、細工したリンクを開くだけで、攻撃者が被害者の認証済みCopilotセッション内でプロンプトを実行できる可能性がありました。
そのプロンプトは、Copilotがすでにアクセス権を持つ接続サービスから情報を取得し、攻撃者が管理する外部エンドポイントへ送信するよう指示できます。さらに、Copilotの永続メモリに悪意ある指示を植え付けることも可能だったとされています。Varonis Threat Labsはこの一連の攻撃をCVE-2026-24301 として追跡し、深刻度を「Critical（重大）」と説明しています。ただし、提示された資料には信頼できる数値のCVSSスコアは示されていません。
人々も尋ねます 「Copilotが自ら明かした攻撃経路「CoSnitch」——1クリックでデータ流出はどう起きたのか」の短い答えは何ですか? CoSnitchはMicrosoft Copilot Personalの3つの弱点を組み合わせた1クリック攻撃で、CVE 2026 24301として追跡されています。Microsoftは2026年8月18日にパッチを提供しましたが、提示された資料から数値のCVSSスコアは確認できません。[5][6][7]
最初に検証する重要なポイントは何ですか? CoSnitchはMicrosoft Copilot Personalの3つの弱点を組み合わせた1クリック攻撃で、CVE 2026 24301として追跡されています。Microsoftは2026年8月18日にパッチを提供しましたが、提示された資料から数値のCVSSスコアは確認できません。[5][6][7] Varonisの研究者Lior Adar氏は、攻撃が成立しない理由をCopilotに繰り返し尋ねる「メタハッキング」によって、未公開のautorun=1パラメーターを突き止めました。
次の実践では何をすればいいでしょうか？ autorun=1とq=を組み合わせると、細工したリンクから攻撃者のプロンプトを自動実行し、認証済みセッションに接続されたサービスのデータを取得・送信したり、Copilotの永続メモリに悪意ある指示を残したりできる可能性がありました。
CoSnitchはMicrosoft Copilot Personalの3つの弱点を組み合わせた1クリック攻撃で、CVE 2026 24301として追跡されています。Microsoftは2026年8月18日にパッチを提供しましたが、提示された資料から数値のCVSSスコアは確認できません。[5][6][7] Varonisの研究者Lior Adar氏は、攻撃が成立しない理由をCopilotに繰り返し尋ねる「メタハッキング」によって、未公開のautorun=1パラメーターを突き止めました。 autorun=1とq=を組み合わせると、細工したリンクから攻撃者のプロンプトを自動実行し、認証済みセッションに接続されたサービスのデータを取得・送信したり、Copilotの永続メモリに悪意ある指示を残したりできる可能性がありました。 What were Varonis Threat Labs’ three chained “CoSnitch” vulnerabilities in Microsoft Copilot Personal—how did researcher Lior Adar use “meta An editorial visualization of CoSnitch, the Microsoft Copilot attack chain uncovered by Varonis Threat Labs. AI プロンプト Create a landscape editorial hero image for this Studio Global article: What were Varonis Threat Labs’ three chained “CoSnitch” vulnerabilities in Microsoft Copilot Personal—how did researcher Lior Adar use “meta. Article summary: CoSnitch was a chained, one-click attack against Microsoft Copilot Personal: a malicious link could cause Copilot to run an attacker-controlled prompt in the victim’s authenticated session, collect connected-service data. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
openai.com CoSnitch（コースニッチ）は、単独のバグではありません。Microsoft Copilot Personalに存在した3つの弱点が連鎖し、細工したリンクを開くだけで、攻撃者が被害者の認証済みCopilotセッション内でプロンプトを実行できる可能性がありました。
そのプロンプトは、Copilotがすでにアクセス権を持つ接続サービスから情報を取得し、攻撃者が管理する外部エンドポイントへ送信するよう指示できます。さらに、Copilotの永続メモリに悪意ある指示を植え付けることも可能だったとされています。Varonis Threat Labsはこの一連の攻撃をCVE-2026-24301 として追跡し、深刻度を「Critical（重大）」と説明しています。ただし、提示された資料には信頼できる数値のCVSSスコアは示されていません。
人々も尋ねます 「Copilotが自ら明かした攻撃経路「CoSnitch」——1クリックでデータ流出はどう起きたのか」の短い答えは何ですか? CoSnitchはMicrosoft Copilot Personalの3つの弱点を組み合わせた1クリック攻撃で、CVE 2026 24301として追跡されています。Microsoftは2026年8月18日にパッチを提供しましたが、提示された資料から数値のCVSSスコアは確認できません。[5][6][7]
最初に検証する重要なポイントは何ですか? CoSnitchはMicrosoft Copilot Personalの3つの弱点を組み合わせた1クリック攻撃で、CVE 2026 24301として追跡されています。Microsoftは2026年8月18日にパッチを提供しましたが、提示された資料から数値のCVSSスコアは確認できません。[5][6][7] Varonisの研究者Lior Adar氏は、攻撃が成立しない理由をCopilotに繰り返し尋ねる「メタハッキング」によって、未公開のautorun=1パラメーターを突き止めました。
次の実践では何をすればいいでしょうか？ autorun=1とq=を組み合わせると、細工したリンクから攻撃者のプロンプトを自動実行し、認証済みセッションに接続されたサービスのデータを取得・送信したり、Copilotの永続メモリに悪意ある指示を残したりできる可能性がありました。
Copilotに「なぜ攻撃できないのか」と尋ねて発見 今回の発見で特に注目されるのは、研究者がCopilotの実装を最初からリバースエンジニアリングしたわけではない点です。
Varonisの研究者Lior Adar氏は、仮想的な自動実行攻撃がなぜ成立しないのかをCopilotに繰り返し質問しました。Copilotは当初、攻撃方法の説明を拒否していたものの、その拒否の過程で自身の防御機構や内部動作に関する情報を少しずつ示し、最終的に未公開のURLパラメーターautorun=1を明らかにしたとされています。
ただし、autorun=1だけで攻撃の全体が完成するわけではありませんでした。通常のクエリ機能や、Copilotが利用できる外部データへのアクセス機能と組み合わさることで、実用的な攻撃チェーンになりました。
CoSnitchを構成した3つの弱点
1. 未公開の自動実行パラメーター Copilotには、認証済みセッションでページを読み込んだ際に、プロンプトを自動実行させられる未公開のautorun=1パラメーターが存在していました。
2. 細工したリンクによるサイレントなプロンプトインジェクション これは、ユーザーが自分で開始した会話に悪意ある指示が入り込むのではなく、メールやWebページなど外部から届けられたリンクを起点に、被害者の既存セッションでAIが攻撃者のテキストを処理してしまう点に意味があります。
3. 接続データの取得と永続メモリへの指示の注入 実証された攻撃チェーンでは、注入されたプロンプトによって、被害者がCopilotに許可していた接続サービスから情報を取得し、その内容をエンコードして、CopilotのURL取得機能を通じて攻撃者の管理するエンドポイントへ送信できる可能性がありました。
同じチェーンを使って、攻撃者が管理するWebページをCopilotに要約させ、そのページに含まれる悪意ある指示をCopilotの永続メモリへ書き込ませることも可能だったとされています。
つまり、CoSnitchは単なるプロンプトインジェクションではありません。次の要素が組み合わさっていました。
プロンプトの自動実行 ユーザーが許可したデータへのアクセス 攻撃者が制御するデータ送信経路 後続の会話にも影響し得る永続メモリの改変
どのような情報が危険にさらされたのか CoSnitchは、接続先のサービスへ直接侵入する攻撃ではありません。被害者のCopilotセッションにすでに与えられていた権限を利用するため、実際にアクセスできる範囲は、アカウントに接続・許可されていたサービスによって変わります。
報告された例には、次のような情報やサービスが含まれます。
Gmail
Google Drive
OneDrive
カレンダー
メール
ファイル
Copilotのチャット履歴
この点は、リスクを判断するうえで重要です。接続サービスが少ないユーザーと、個人情報や組織内データを横断的に検索できる状態のユーザーでは、攻撃によって到達し得るデータの範囲が異なります。AIアシスタントにどの権限を与えていたかが、被害の大きさを左右します。
CVE、深刻度、修正状況と実際の悪用 一部の資料は2026年2月に先行する緩和策が実施されたとしていますが、その対応が攻撃チェーンのどの部分を対象にしたのか、また8月の修正と技術的にどう異なるのかは、提示された証拠だけでは確定できません。
これは、確認済みの実害や実環境での悪用が資料上で示されていないという意味であり、悪用が一度も起きていないことの証明ではありません。
Microsoft 365 Copilot Enterpriseにも影響したのか 提示された研究の中心は、Microsoft Copilot Personal です。Copilot Personalを使っているユーザーが、企業のサービスに認証済みだったり、組織のデータへ接続できる状態だったりすれば、攻撃の影響が企業関連情報に及ぶ可能性はあります。
慎重な結論として、組織は接続アカウントの権限とアップデート状況を確認すべきです。しかし、CoSnitchの研究を根拠に、Microsoft 365 Copilot Enterpriseも同じ脆弱性の影響を受けたと断定するのは適切ではありません。
Reprompt、SearchLeak、RovoBlastとの関係 CoSnitchは、AIアシスタントがユーザーに許可された情報を扱い、場合によってはその情報に基づいて行動することのリスクを調べてきた、Varonis Threat Labsの一連の研究に位置付けられます。
Reprompt ：質問を繰り返すことでCopilotのガードレールを回避する手法として報告されました。SearchLeak ：Microsoft 365 Copilot Enterpriseが、検知されにくいデータ流出ツールになり得ると説明された研究です。RovoBlast ：Atlassian Rovoを対象に、企業情報へアクセスできるAIアシスタントを悪意あるコンテンツが誘導し、データを開示・操作させる懸念を扱いました。 CoSnitchの特徴は、攻撃者がコンテンツに悪意ある指示を埋め込んだだけではなく、Copilot自身に「なぜ自動実行できないのか」を説明させることで、その仕組みを可能にする未公開の機能を見つけた点です。
mallory.ai
CoSnitch Flaw in Microsoft Copilot Enabled One-Click Data Exfiltration
Copilotに「なぜ攻撃できないのか」と尋ねて発見 今回の発見で特に注目されるのは、研究者がCopilotの実装を最初からリバースエンジニアリングしたわけではない点です。
Varonisの研究者Lior Adar氏は、仮想的な自動実行攻撃がなぜ成立しないのかをCopilotに繰り返し質問しました。Copilotは当初、攻撃方法の説明を拒否していたものの、その拒否の過程で自身の防御機構や内部動作に関する情報を少しずつ示し、最終的に未公開のURLパラメーターautorun=1を明らかにしたとされています。
ただし、autorun=1だけで攻撃の全体が完成するわけではありませんでした。通常のクエリ機能や、Copilotが利用できる外部データへのアクセス機能と組み合わさることで、実用的な攻撃チェーンになりました。
CoSnitchを構成した3つの弱点
1. 未公開の自動実行パラメーター Copilotには、認証済みセッションでページを読み込んだ際に、プロンプトを自動実行させられる未公開のautorun=1パラメーターが存在していました。
2. 細工したリンクによるサイレントなプロンプトインジェクション これは、ユーザーが自分で開始した会話に悪意ある指示が入り込むのではなく、メールやWebページなど外部から届けられたリンクを起点に、被害者の既存セッションでAIが攻撃者のテキストを処理してしまう点に意味があります。
3. 接続データの取得と永続メモリへの指示の注入 実証された攻撃チェーンでは、注入されたプロンプトによって、被害者がCopilotに許可していた接続サービスから情報を取得し、その内容をエンコードして、CopilotのURL取得機能を通じて攻撃者の管理するエンドポイントへ送信できる可能性がありました。
同じチェーンを使って、攻撃者が管理するWebページをCopilotに要約させ、そのページに含まれる悪意ある指示をCopilotの永続メモリへ書き込ませることも可能だったとされています。
つまり、CoSnitchは単なるプロンプトインジェクションではありません。次の要素が組み合わさっていました。
プロンプトの自動実行 ユーザーが許可したデータへのアクセス 攻撃者が制御するデータ送信経路 後続の会話にも影響し得る永続メモリの改変
どのような情報が危険にさらされたのか CoSnitchは、接続先のサービスへ直接侵入する攻撃ではありません。被害者のCopilotセッションにすでに与えられていた権限を利用するため、実際にアクセスできる範囲は、アカウントに接続・許可されていたサービスによって変わります。
報告された例には、次のような情報やサービスが含まれます。
Gmail
Google Drive
OneDrive
カレンダー
メール
ファイル
Copilotのチャット履歴
この点は、リスクを判断するうえで重要です。接続サービスが少ないユーザーと、個人情報や組織内データを横断的に検索できる状態のユーザーでは、攻撃によって到達し得るデータの範囲が異なります。AIアシスタントにどの権限を与えていたかが、被害の大きさを左右します。
CVE、深刻度、修正状況と実際の悪用 一部の資料は2026年2月に先行する緩和策が実施されたとしていますが、その対応が攻撃チェーンのどの部分を対象にしたのか、また8月の修正と技術的にどう異なるのかは、提示された証拠だけでは確定できません。
これは、確認済みの実害や実環境での悪用が資料上で示されていないという意味であり、悪用が一度も起きていないことの証明ではありません。
Microsoft 365 Copilot Enterpriseにも影響したのか 提示された研究の中心は、Microsoft Copilot Personal です。Copilot Personalを使っているユーザーが、企業のサービスに認証済みだったり、組織のデータへ接続できる状態だったりすれば、攻撃の影響が企業関連情報に及ぶ可能性はあります。
慎重な結論として、組織は接続アカウントの権限とアップデート状況を確認すべきです。しかし、CoSnitchの研究を根拠に、Microsoft 365 Copilot Enterpriseも同じ脆弱性の影響を受けたと断定するのは適切ではありません。
Reprompt、SearchLeak、RovoBlastとの関係 CoSnitchは、AIアシスタントがユーザーに許可された情報を扱い、場合によってはその情報に基づいて行動することのリスクを調べてきた、Varonis Threat Labsの一連の研究に位置付けられます。
Reprompt ：質問を繰り返すことでCopilotのガードレールを回避する手法として報告されました。SearchLeak ：Microsoft 365 Copilot Enterpriseが、検知されにくいデータ流出ツールになり得ると説明された研究です。RovoBlast ：Atlassian Rovoを対象に、企業情報へアクセスできるAIアシスタントを悪意あるコンテンツが誘導し、データを開示・操作させる懸念を扱いました。 CoSnitchの特徴は、攻撃者がコンテンツに悪意ある指示を埋め込んだだけではなく、Copilot自身に「なぜ自動実行できないのか」を説明させることで、その仕組みを可能にする未公開の機能を見つけた点です。
mallory.ai
CoSnitch Flaw in Microsoft Copilot Enabled One-Click Data Exfiltration
varonis.comCoSnitch: When Your AI Assistant Becomes Its Own Whistleblower
cybersecuritynews.comCritical Microsoft Copilot CoSnitch Vulnerability Lets Attackers Steal ...
thehackernews.comMicrosoft Copilot Personal Flaws Could Let One Click ...
daily.devCopilot tricked into telling reseachers how to hack itself | daily.dev