CoSnitch forklart: Slik kunne en skjult Copilot-feil eksponere tilkoblede data

CoSnitch var ikke én enkeltstående feil, men en kjede av tre svakheter i Microsoft Copilot Personal. Ifølge Varonis Threat Labs kunne en spesiallaget lenke utløse en angriperstyrt instruksjon i offerets innloggede Copilot-økt. Angrepet kunne deretter utnytte assistentens eksisterende tilgang til tilkoblede tjenester og potensielt legge inn instruksjoner i et vedvarende minne. Varonis registrerte kjeden som CVE-2026-24301 og beskrev den som kritisk. Kildene som er gjennomgått her, oppgir ikke en bekreftet numerisk CVSS-score.

Hvordan «meta-hacking» avdekket angrepsveien

Oppdagelsen var uvanlig fordi forskerne ikke startet med å reverse-engineere Copilots tekniske implementasjon. Lior Adar spurte i stedet Copilot gjentatte ganger hvorfor et tenkt angrep med automatisk kjøring ikke skulle fungere. Copilots avslag skal ha avslørt detaljer om egne sikkerhetsmekanismer, og til slutt også den udokumenterte URL-parameteren autorun=1. Varonis kalte metoden meta-hacking: å bruke en AI-assistents egne forklaringer om sikkerhetstiltakene sine til å finne svakheter i de samme tiltakene.

Funnet gjorde en teoretisk angrepsidé til en praktisk kjede. Parameteren alene utgjorde ikke hele sårbarheten. Det avgjørende var hvordan den fungerte sammen med Copilots vanlige spørremekanisme og andre funksjoner.

De tre svakhetene bak CoSnitch

1. En udokumentert parameter for automatisk kjøring

Copilot støttet den udokumenterte parameteren autorun=1, som kunne få en instruksjon til å kjøre automatisk når en side ble lastet i en innlogget økt. Parameteren ble ikke presentert som et vanlig samtykkesteg fra brukeren, og utgjorde dermed det første leddet i angrepskjeden.

2. Stille instruksjonsinjeksjon via en spesiallaget lenke

Når autorun=1 ble kombinert med Copilots q=-parameter, kunne en angriper plassere en instruksjon i en spesiallaget lenke og få den utløst når offeret åpnet lenken. I demonstrasjonen som er omtalt i kildene, trengte offeret ikke å godkjenne instruksjonen gjennom et tydelig ekstra trinn.

Dette flyttet angrepet fra en samtale brukeren selv hadde startet, til en instruksjon som ble levert gjennom en ekstern nettside eller melding. Assistenten behandlet deretter angriperens tekst i offerets eksisterende økt.

3. Tilgang til tilkoblede data og vedvarende minne

Den injiserte instruksjonen kunne be Copilot hente informasjon som var tilgjengelig gjennom offerets godkjente tilkoblinger, kode eller pakke informasjonen og sende den til et endepunkt kontrollert av angriperen ved hjelp av Copilots funksjon for å hente innhold fra URL-er. Den samme kjeden kunne også få Copilot til å oppsummere en nettside kontrollert av angriperen. Skadelige instruksjoner i innholdet kunne deretter bli skrevet inn i Copilots vedvarende minne.

Resultatet var mer omfattende enn en vanlig instruksjonsinjeksjon. Kjeden kombinerte automatisk kjøring, tilgang til brukerens godkjente informasjon og en utkanal kontrollert av angriperen. Manipulering av vedvarende minne innebar dessuten en ekstra risiko: Skadelige instruksjoner kunne påvirke senere samtaler, ikke bare den første interaksjonen.

Hvilken informasjon kunne bli eksponert?

CoSnitch brøt ikke uavhengig inn i alle tilkoblede tjenester. Angrepet brukte tillatelsene som allerede var tilgjengelige for offerets Copilot-økt. Hvor stort skadeomfanget kunne bli, var derfor avhengig av hvilke apper og tjenester kontoen var koblet til og hadde gitt tilgang til. Eksempler som er omtalt, er Gmail, Google Drive, OneDrive, kalendere, e-post, filer og Copilot-chatthistorikk.

Dette skillet er viktig når risikoen skal vurderes. En bruker med få tilkoblede tjenester ville ha et mindre dataområde enn en bruker der assistenten kunne søke på tvers av personlig eller organisatorisk informasjon. Angrepets rekkevidde ble dermed i stor grad bestemt av tillatelsene som var gitt til AI-assistenten.

CVE, alvorlighetsgrad, oppdateringer og utnyttelse

Varonis identifiserte kjeden som CVE-2026-24301 og kalte den kritisk. Kildene som er tilgjengelige for denne artikkelen, inneholder imidlertid ingen pålitelig numerisk CVSS-vurdering. En konkret score bør derfor ikke utledes av betegnelsen «kritisk».

Varonis opplyste at CoSnitch ble rapportert til Microsoft i desember 2025, og tilgjengelig omtale sier at Microsoft distribuerte oppdateringer 18. august 2026. Noe av materialet viser også til en tidligere begrensning i februar 2026, men dokumenterer ikke hvilken del av kjeden dette tiltaket rettet, eller hvordan det teknisk skilte seg fra utbedringen i august.

Varonis har ikke rapportert bevis for at CoSnitch ble utnyttet i det fri. Materialet som er gjennomgått, dokumenterer heller ikke at CVE-2026-24301 stod på CISA-katalogen over kjente, aktivt utnyttede sårbarheter. Det betyr at kildene ikke viser dokumentert utnyttelse – ikke at det er bevist at utnyttelse aldri har funnet sted.

Galdt CoSnitch Microsoft 365 Copilot Enterprise?

Forskningen som beskrives i kildene, fokuserte på Microsoft Copilot Personal. Organisasjonsdata kunne likevel bli berørt dersom en person brukte Copilot Personal samtidig som tjenesten var innlogget mot eller koblet til virksomhetens tjenester.

Det er ikke det samme som å fastslå en separat sårbarhet i Microsoft 365 Copilot Enterprise. Én av kildene skiller uttrykkelig mellom disse scenariene, mens en annen sekundær omtale hevder at virkningen var bredere. Dokumentasjonen som er tilgjengelig her, er ikke tilstrekkelig til å avgjøre konflikten. Den forsiktige konklusjonen er derfor at virksomheter bør undersøke tilkoblede kontotillatelser og oppdateringsstatus, men ikke omtale forskningen som bevis på at Microsoft 365 Copilot Enterprise hadde den samme sårbarheten.

Hvordan CoSnitch henger sammen med tidligere AI-forskning fra Varonis

CoSnitch inngår i en bredere rekke funn fra Varonis om AI-assistenter som kan handle på informasjon brukeren allerede har tilgang til:

• Reprompt handlet om å omgå Copilots sikkerhetsbarrierer ved å gjenta spørsmål.
• SearchLeak ble beskrevet som en metode som kunne gjøre Microsoft 365 Copilot Enterprise til et verktøy for stille dataeksfiltrering.
• RovoBlast rettet et lignende søkelys mot Atlassian Rovo, der skadelig innhold kunne styre en assistent med tilgang til virksomhetsinformasjon til å avsløre eller handle på dataene.

Det særegne ved CoSnitch var først og fremst hvordan angrepsveien ble funnet. Forskerne la ikke bare inn skadelige instruksjoner i innhold. De brukte Copilots egne forklaringer på hvorfor automatisk kjøring skulle mislykkes til å avdekke den udokumenterte mekanismen som gjorde angrepet mulig. Det var kombinasjonen av selvavsløring, instruksjonsinjeksjon, tilgang til godkjente data og manipulering av vedvarende minne som gjorde kjeden bemerkelsesverdig.