Jak „meta-hacking” doprowadził do odkrycia ataku

Odkrycie było nietypowe, ponieważ badacze nie zaczęli od inżynierii wstecznej kodu Copilot. Lior Adar wielokrotnie pytał asystenta, dlaczego hipotetyczny atak wykorzystujący automatyczne wykonywanie poleceń nie powinien zadziałać. Według relacji Varonis kolejne odmowy Copilot ujawniały szczegóły jego zabezpieczeń, a ostatecznie także nieudokumentowany parametr URL autorun=1.

Varonis nazwał tę metodę meta-hackingiem — wykorzystywaniem odpowiedzi asystenta dotyczących jego własnych zabezpieczeń do identyfikowania słabości tych zabezpieczeń.

Sam parametr nie stanowił całej luki. Jego znaczenie wynikało z połączenia ze standardowym mechanizmem zapytań Copilot oraz z funkcjami dostępu do danych i pobierania treści z sieci.

Trzy elementy łańcucha CoSnitch

1. Nieudokumentowany parametr automatycznego uruchamiania

Copilot obsługiwał nieudokumentowany parametr autorun=1, który mógł powodować automatyczne wykonanie promptu po załadowaniu strony w uwierzytelnionej sesji. Mechanizm nie wymagał wyraźnego potwierdzenia w formie zwykłego kroku zgody użytkownika, tworząc pierwszy element ataku.

2. Cichy prompt injection przez spreparowany link

Po połączeniu z parametrem zapytania q= wartość autorun=1 pozwalała umieścić prompt w specjalnie przygotowanym odnośniku i uruchomić go, gdy ofiara otworzyła link. W zaprezentowanym scenariuszu użytkownik nie musiał zatwierdzać polecenia dodatkową, wyraźną interakcją.

To istotna zmiana względem rozmowy rozpoczętej świadomie przez użytkownika. Instrukcja atakującego mogła zostać dostarczona przez zewnętrzną stronę lub wiadomość, a następnie przetworzona przez Copilot w ramach istniejącej sesji ofiary.

3. Dostęp do połączonych danych i trwałej pamięci

Wstrzyknięty prompt mógł nakazać Copilot pobranie informacji dostępnych za pośrednictwem autoryzowanych połączeń ofiary, zakodowanie tych danych i przesłanie ich do kontrolowanego przez atakującego punktu końcowego z użyciem funkcji pobierania adresów URL przez Copilot. Ten sam łańcuch mógł również skłonić asystenta do podsumowania strony internetowej przygotowanej przez atakującego. Złośliwe instrukcje zawarte w jej treści mogły następnie zostać zapisane w trwałej pamięci Copilot.

Było to coś więcej niż typowy prompt injection. Atak łączył automatyczne wykonanie, dostęp do informacji objętych uprawnieniami użytkownika oraz kanał wyjściowy kontrolowany przez atakującego. Manipulacja trwałą pamięcią zwiększała ryzyko, ponieważ złośliwe instrukcje mogły wpływać również na późniejsze interakcje, a nie tylko na początkową rozmowę.

Jakie dane mogły zostać ujawnione?

CoSnitch nie przełamywał niezależnie zabezpieczeń każdej połączonej usługi. Działał w granicach uprawnień dostępnych w sesji Copilot ofiary, dlatego zakres potencjalnego wycieku zależał od podłączonych aplikacji i przyznanych zgód. Wśród wymienianych przykładów znalazły się Gmail, Google Drive, OneDrive, kalendarze, poczta elektroniczna, pliki oraz historia rozmów w Copilot.

To rozróżnienie ma znaczenie przy ocenie ryzyka. Konto z niewielką liczbą połączonych usług miało mniejszą powierzchnię dostępu niż konto, którego asystent mógł przeszukiwać zarówno prywatne, jak i organizacyjne informacje. Zasięg ataku zależał więc przede wszystkim od uprawnień przyznanych asystentowi AI.

CVE, poziom zagrożenia i poprawki Microsoftu

Varonis przypisał łańcuchowi oznaczenie CVE-2026-24301 i określił go jako krytyczny. Dostarczone źródła nie zawierają jednak wiarygodnej, liczbowej oceny CVSS. Nie należy więc wyprowadzać konkretnego wyniku wyłącznie z określenia „krytyczny”.

Varonis poinformował Microsoft o CoSnitch w grudniu 2025 roku, a według dostępnych publikacji Microsoft udostępnił poprawki 18 sierpnia 2026 roku. Część materiałów wspomina również o wcześniejszym ograniczeniu ryzyka w lutym 2026 roku, ale nie wyjaśnia, którego elementu łańcucha dotyczyło ani czym dokładnie różniło się ono technicznie od działań podjętych w sierpniu.

Varonis nie znalazł dowodów na wykorzystanie CoSnitch w rzeczywistych atakach. Dostępne materiały nie potwierdzają też, że CVE-2026-24301 znalazło się w katalogu Known Exploited Vulnerabilities prowadzonym przez amerykańską agencję CISA. Oznacza to, że w przeanalizowanych źródłach nie ma udokumentowanego wykorzystania luki — nie jest to jednak dowód, że do takiego wykorzystania nigdy nie doszło.

Czy luka dotyczyła Microsoft 365 Copilot Enterprise?

Badanie opisane w dostarczonych źródłach koncentrowało się na Microsoft Copilot Personal. Potencjalny wpływ na dane organizacyjne mógł pojawić się wtedy, gdy użytkownik korzystał z Copilot Personal, będąc jednocześnie uwierzytelnionym w usługach firmowych lub mając je z nim połączone.

Nie jest to jednak równoznaczne z potwierdzeniem niezależnej luki w Microsoft 365 Copilot Enterprise. Jedno ze źródeł wyraźnie rozróżnia te scenariusze, podczas gdy inny raport wtórny sugeruje szerszy wpływ. Dostarczone dowody nie pozwalają rozstrzygnąć tej sprzeczności.

Najostrożniejszy wniosek dla organizacji brzmi: należy sprawdzić uprawnienia połączonych kont i stan aktualizacji, ale nie należy przedstawiać badania jako dowodu, że Microsoft 365 Copilot Enterprise miał dokładnie tę samą podatność.

Co CoSnitch ma wspólnego z wcześniejszymi badaniami Varonis?

CoSnitch wpisuje się w szerszy cykl badań Varonis dotyczących asystentów AI, które działają na danych już dostępnych użytkownikowi:

• Reprompt dotyczył obchodzenia zabezpieczeń Copilot przez wielokrotne powtarzanie zapytań.
• SearchLeak został opisany jako sposób na przekształcenie Microsoft 365 Copilot Enterprise w narzędzie cichej eksfiltracji danych.
• RovoBlast odnosił podobne zagrożenie do Atlassian Rovo — złośliwe treści mogły nakierować asystenta mającego dostęp do informacji firmowych na ujawnienie danych lub wykonanie określonych działań.

Najbardziej charakterystyczny element CoSnitch stanowiła metoda odkrycia. Badacze nie ograniczyli się do umieszczenia złośliwych instrukcji w treści. Wykorzystali wyjaśnienia Copilot dotyczące tego, dlaczego automatyczne wykonanie polecenia powinno być niemożliwe, aby znaleźć nieudokumentowany mechanizm umożliwiający atak.

To połączenie samoujawnienia mechanizmu przez asystenta, prompt injection, dostępu do danych objętych autoryzacją oraz manipulowania trwałą pamięcią sprawiło, że CoSnitch wyróżnił się na tle wcześniejszych badań.

Jak „meta-hacking” doprowadził do odkrycia ataku

Odkrycie było nietypowe, ponieważ badacze nie zaczęli od inżynierii wstecznej kodu Copilot. Lior Adar wielokrotnie pytał asystenta, dlaczego hipotetyczny atak wykorzystujący automatyczne wykonywanie poleceń nie powinien zadziałać. Według relacji Varonis kolejne odmowy Copilot ujawniały szczegóły jego zabezpieczeń, a ostatecznie także nieudokumentowany parametr URL autorun=1.

Varonis nazwał tę metodę meta-hackingiem — wykorzystywaniem odpowiedzi asystenta dotyczących jego własnych zabezpieczeń do identyfikowania słabości tych zabezpieczeń.

Sam parametr nie stanowił całej luki. Jego znaczenie wynikało z połączenia ze standardowym mechanizmem zapytań Copilot oraz z funkcjami dostępu do danych i pobierania treści z sieci.

Trzy elementy łańcucha CoSnitch

1. Nieudokumentowany parametr automatycznego uruchamiania

Copilot obsługiwał nieudokumentowany parametr autorun=1, który mógł powodować automatyczne wykonanie promptu po załadowaniu strony w uwierzytelnionej sesji. Mechanizm nie wymagał wyraźnego potwierdzenia w formie zwykłego kroku zgody użytkownika, tworząc pierwszy element ataku.

2. Cichy prompt injection przez spreparowany link

Po połączeniu z parametrem zapytania q= wartość autorun=1 pozwalała umieścić prompt w specjalnie przygotowanym odnośniku i uruchomić go, gdy ofiara otworzyła link. W zaprezentowanym scenariuszu użytkownik nie musiał zatwierdzać polecenia dodatkową, wyraźną interakcją.

To istotna zmiana względem rozmowy rozpoczętej świadomie przez użytkownika. Instrukcja atakującego mogła zostać dostarczona przez zewnętrzną stronę lub wiadomość, a następnie przetworzona przez Copilot w ramach istniejącej sesji ofiary.

3. Dostęp do połączonych danych i trwałej pamięci

Wstrzyknięty prompt mógł nakazać Copilot pobranie informacji dostępnych za pośrednictwem autoryzowanych połączeń ofiary, zakodowanie tych danych i przesłanie ich do kontrolowanego przez atakującego punktu końcowego z użyciem funkcji pobierania adresów URL przez Copilot. Ten sam łańcuch mógł również skłonić asystenta do podsumowania strony internetowej przygotowanej przez atakującego. Złośliwe instrukcje zawarte w jej treści mogły następnie zostać zapisane w trwałej pamięci Copilot.

Było to coś więcej niż typowy prompt injection. Atak łączył automatyczne wykonanie, dostęp do informacji objętych uprawnieniami użytkownika oraz kanał wyjściowy kontrolowany przez atakującego. Manipulacja trwałą pamięcią zwiększała ryzyko, ponieważ złośliwe instrukcje mogły wpływać również na późniejsze interakcje, a nie tylko na początkową rozmowę.

Jakie dane mogły zostać ujawnione?

CoSnitch nie przełamywał niezależnie zabezpieczeń każdej połączonej usługi. Działał w granicach uprawnień dostępnych w sesji Copilot ofiary, dlatego zakres potencjalnego wycieku zależał od podłączonych aplikacji i przyznanych zgód. Wśród wymienianych przykładów znalazły się Gmail, Google Drive, OneDrive, kalendarze, poczta elektroniczna, pliki oraz historia rozmów w Copilot.

To rozróżnienie ma znaczenie przy ocenie ryzyka. Konto z niewielką liczbą połączonych usług miało mniejszą powierzchnię dostępu niż konto, którego asystent mógł przeszukiwać zarówno prywatne, jak i organizacyjne informacje. Zasięg ataku zależał więc przede wszystkim od uprawnień przyznanych asystentowi AI.

CVE, poziom zagrożenia i poprawki Microsoftu

Varonis przypisał łańcuchowi oznaczenie CVE-2026-24301 i określił go jako krytyczny. Dostarczone źródła nie zawierają jednak wiarygodnej, liczbowej oceny CVSS. Nie należy więc wyprowadzać konkretnego wyniku wyłącznie z określenia „krytyczny”.

Varonis poinformował Microsoft o CoSnitch w grudniu 2025 roku, a według dostępnych publikacji Microsoft udostępnił poprawki 18 sierpnia 2026 roku. Część materiałów wspomina również o wcześniejszym ograniczeniu ryzyka w lutym 2026 roku, ale nie wyjaśnia, którego elementu łańcucha dotyczyło ani czym dokładnie różniło się ono technicznie od działań podjętych w sierpniu.

Varonis nie znalazł dowodów na wykorzystanie CoSnitch w rzeczywistych atakach. Dostępne materiały nie potwierdzają też, że CVE-2026-24301 znalazło się w katalogu Known Exploited Vulnerabilities prowadzonym przez amerykańską agencję CISA. Oznacza to, że w przeanalizowanych źródłach nie ma udokumentowanego wykorzystania luki — nie jest to jednak dowód, że do takiego wykorzystania nigdy nie doszło.

Czy luka dotyczyła Microsoft 365 Copilot Enterprise?

Badanie opisane w dostarczonych źródłach koncentrowało się na Microsoft Copilot Personal. Potencjalny wpływ na dane organizacyjne mógł pojawić się wtedy, gdy użytkownik korzystał z Copilot Personal, będąc jednocześnie uwierzytelnionym w usługach firmowych lub mając je z nim połączone.

Nie jest to jednak równoznaczne z potwierdzeniem niezależnej luki w Microsoft 365 Copilot Enterprise. Jedno ze źródeł wyraźnie rozróżnia te scenariusze, podczas gdy inny raport wtórny sugeruje szerszy wpływ. Dostarczone dowody nie pozwalają rozstrzygnąć tej sprzeczności.

Najostrożniejszy wniosek dla organizacji brzmi: należy sprawdzić uprawnienia połączonych kont i stan aktualizacji, ale nie należy przedstawiać badania jako dowodu, że Microsoft 365 Copilot Enterprise miał dokładnie tę samą podatność.

Co CoSnitch ma wspólnego z wcześniejszymi badaniami Varonis?

CoSnitch wpisuje się w szerszy cykl badań Varonis dotyczących asystentów AI, które działają na danych już dostępnych użytkownikowi:

• Reprompt dotyczył obchodzenia zabezpieczeń Copilot przez wielokrotne powtarzanie zapytań.
• SearchLeak został opisany jako sposób na przekształcenie Microsoft 365 Copilot Enterprise w narzędzie cichej eksfiltracji danych.
• RovoBlast odnosił podobne zagrożenie do Atlassian Rovo — złośliwe treści mogły nakierować asystenta mającego dostęp do informacji firmowych na ujawnienie danych lub wykonanie określonych działań.

Najbardziej charakterystyczny element CoSnitch stanowiła metoda odkrycia. Badacze nie ograniczyli się do umieszczenia złośliwych instrukcji w treści. Wykorzystali wyjaśnienia Copilot dotyczące tego, dlaczego automatyczne wykonanie polecenia powinno być niemożliwe, aby znaleźć nieudokumentowany mechanizm umożliwiający atak.

To połączenie samoujawnienia mechanizmu przez asystenta, prompt injection, dostępu do danych objętych autoryzacją oraz manipulowania trwałą pamięcią sprawiło, że CoSnitch wyróżnił się na tle wcześniejszych badań.