Como o CoSnitch poderia transformar um link em uma porta de entrada para dados do Copilot

A descoberta transformou um cenário teórico em uma cadeia prática. O parâmetro, sozinho, não era toda a vulnerabilidade; o risco surgiu da combinação dele com o mecanismo normal de consultas do Copilot e com outros recursos do assistente.

As três fraquezas que formavam o CoSnitch

1. Um parâmetro não documentado para execução automática

O Copilot aceitava o parâmetro não documentado autorun=1, capaz de fazer um prompt ser executado automaticamente quando uma página era carregada em uma sessão autenticada. Como esse comportamento não aparecia como uma etapa comum de consentimento do usuário, ele formava o primeiro elo da cadeia.

2. Injeção silenciosa de prompt por meio de um link

Quando combinado ao parâmetro de consulta q=, o autorun=1 permitia que um invasor inserisse um prompt em um link especialmente elaborado e o disparasse quando a vítima abrisse a URL. Na demonstração descrita pelos pesquisadores, não era necessário que a vítima aprovasse o prompt por meio de uma interação adicional claramente visível.

Isso mudava o cenário de uma conversa iniciada conscientemente pelo usuário para uma instrução entregue por uma página, mensagem ou outro conteúdo externo. O assistente processava o texto do invasor dentro da sessão já autenticada da vítima.

3. Acesso a dados conectados e à memória persistente

O prompt injetado poderia instruir o Copilot a buscar informações disponíveis nas conexões autorizadas da vítima, codificar esses dados e enviá-los a um endpoint controlado pelo invasor usando o recurso de busca de URLs do assistente. A mesma cadeia também poderia fazer o Copilot resumir uma página controlada pelo invasor, permitindo que instruções maliciosas presentes nesse conteúdo fossem gravadas na memória persistente.

O resultado ia além de uma injeção de prompt convencional. O CoSnitch combinava execução automática, acesso a informações autorizadas pelo usuário e um canal de saída controlado pelo invasor. A manipulação da memória persistente acrescentava outro risco: instruções maliciosas poderiam influenciar conversas futuras, em vez de afetar somente a interação inicial.

Que informações poderiam ser expostas?

O CoSnitch não invadia, por conta própria, todos os serviços conectados. O ataque operava com as permissões já disponíveis na sessão do Copilot da vítima. Por isso, o alcance dependia dos aplicativos conectados e das autorizações concedidas à conta.

Entre os exemplos relatados estão Gmail, Google Drive, OneDrive, calendários, e-mails, arquivos e o histórico de conversas do Copilot.

Essa distinção é importante para dimensionar o risco. Uma conta com poucos serviços conectados teria uma superfície de acesso menor que a de um usuário cujo assistente pudesse pesquisar informações pessoais ou corporativas em várias plataformas. Em outras palavras, o alcance do ataque era moldado pelas permissões oferecidas ao assistente de IA.

CVE, gravidade, correções e exploração

A Varonis identificou a cadeia como CVE-2026-24301 e a classificou como crítica. No entanto, o material fornecido não apresenta uma pontuação numérica confiável de CVSS. Portanto, não é possível deduzir um valor específico apenas da classificação “crítica”.

A Varonis informou ter comunicado o CoSnitch à Microsoft em dezembro de 2025. O material disponível também afirma que a Microsoft distribuiu correções em 18 de agosto de 2026.

Parte das fontes menciona uma mitigação anterior em fevereiro de 2026, mas não esclarece qual elo da cadeia ela teria abordado nem como, tecnicamente, se diferenciava da correção de agosto. Assim, não é possível atribuir com segurança efeitos específicos a cada uma dessas medidas.

A Varonis disse não ter encontrado evidências de exploração do CoSnitch no mundo real. As fontes fornecidas também não demonstram que a CVE-2026-24301 tenha sido incluída no catálogo Known Exploited Vulnerabilities, da CISA, que reúne vulnerabilidades com exploração confirmada. Isso significa que o material analisado não documenta exploração — não que seja possível provar que ela jamais ocorreu.

O CoSnitch também afetou o Microsoft 365 Copilot Enterprise?

A pesquisa descrita nas fontes se concentrou no Microsoft Copilot Personal. Ainda assim, informações corporativas poderiam entrar no cenário se uma pessoa usasse o Copilot Personal enquanto estivesse autenticada em serviços empresariais ou mantivesse conexões com eles.

Isso é diferente de provar uma vulnerabilidade independente no Microsoft 365 Copilot Enterprise. Uma das fontes faz essa distinção explicitamente, enquanto outro relatório secundário afirma que o impacto seria mais amplo. As evidências fornecidas não são suficientes para resolver essa divergência.

A conclusão mais cuidadosa é que as organizações devem revisar as permissões de contas conectadas e confirmar a aplicação das atualizações, mas não devem tratar a pesquisa como prova de que o Microsoft 365 Copilot Enterprise tinha exatamente a mesma vulnerabilidade.

Como o CoSnitch se relaciona a outras pesquisas da Varonis

O caso faz parte de uma sequência mais ampla de pesquisas da Varonis sobre assistentes de IA capazes de agir sobre informações já autorizadas para um usuário:

• Reprompt envolvia contornar proteções do Copilot repetindo consultas.
• SearchLeak foi descrito como capaz de transformar o Microsoft 365 Copilot Enterprise em uma ferramenta silenciosa de exfiltração.
• RovoBlast levou uma preocupação semelhante ao Atlassian Rovo, no qual conteúdo malicioso poderia conduzir um assistente com acesso a informações corporativas a revelar ou manipular esses dados.

O diferencial do CoSnitch foi o método de descoberta. Em vez de apenas inserir instruções maliciosas em um conteúdo, os pesquisadores usaram as próprias explicações do Copilot sobre por que a execução automática deveria falhar para encontrar o mecanismo não documentado que tornava o ataque possível.

Essa combinação de autorrevelação do assistente, injeção de prompt, acesso a dados autorizados e manipulação da memória persistente foi o que tornou a cadeia particularmente relevante.