CoSnitch förklarat: Så kunde Microsoft Copilot avslöja ansluten data

Var­onis kallade metoden meta-hacking: att använda en AI-assistents egna förklaringar om säkerhetsskydden för att hitta svagheter i just dessa skydd.

Parametern var inte hela sårbarheten i sig. Risken uppstod genom hur den samverkade med Copilots vanliga frågefunktion och med assistentens åtkomst till anslutna datakällor.

De tre svagheterna bakom CoSnitch

1. En odokumenterad parameter för automatisk körning

Copilot stödde parametern autorun=1, som kunde få en instruktion att köras automatiskt när en sida öppnades i en inloggad session. Den presenterades inte som ett tydligt steg där användaren behövde lämna ett separat godkännande. Det blev den första länken i attackkedjan.

2. Smygande promptinjektion via en manipulerad länk

När autorun=1 kombinerades med Copilots q=-parameter kunde en angripare bädda in en instruktion i en särskilt utformad länk. När offret öppnade länken kördes instruktionen enligt den rapporterade demonstrationen utan någon uppenlig extra godkännandeåtgärd.

Det flyttade attacken från en konversation som användaren själv hade startat till en instruktion som levererades genom en extern sida eller ett meddelande. Copilot bearbetade sedan angriparens text i offrets befintliga session.

3. Åtkomst till ansluten data och bestående minne

Den injicerade instruktionen kunde få Copilot att hämta information som var tillgänglig genom offrets godkända anslutningar, koda informationen och skicka den till en server som angriparen kontrollerade via Copilots funktion för att hämta innehåll från webbadresser. Samma kedja kunde även få Copilot att sammanfatta en webbsida kontrollerad av angriparen. På så sätt kunde skadliga instruktioner i sidans innehåll skrivas in i Copilots bestående minne.

Resultatet var mer omfattande än en vanlig promptinjektion. Angreppet kombinerade automatisk körning, åtkomst till information som användaren redan hade godkänt och en utkanal som angriparen kontrollerade. Angrepp mot det bestående minnet innebar dessutom en risk för att instruktionerna kunde påverka senare samtal, inte bara den första interaktionen.

Vilken information kunde exponeras?

CoSnitch tog inte självständigt sig in i alla anslutna tjänster. Angreppet använde de behörigheter som redan fanns i offrets Copilot-session. Den möjliga exponeringen berodde därför på vilka applikationer och konton som var anslutna och godkända. Rapporterade exempel var Gmail, Google Drive, OneDrive, kalendrar, e-post, filer och Copilots chatthistorik.

Det är en viktig skillnad när risken ska bedömas. En användare med få anslutna tjänster hade en mindre exponerad datayta än en användare vars assistent kunde söka i både privat och organisatorisk information. Angreppets räckvidd styrdes alltså av vilka behörigheter användaren hade gett AI-assistenten.

CVE, allvarlighetsgrad och åtgärder

Var­onis identifierade kedjan som CVE-2026-24301 och klassade den som kritisk. Det innebär inte att ett specifikt CVSS-tal kan utläsas. Det underlag som finns för denna artikel anger inget tillförlitligt numeriskt CVSS-värde, och ett sådant bör därför inte gissas fram från klassningen ”kritisk”.

Var­onis uppger att CoSnitch rapporterades till Microsoft i december 2025. Enligt den tillgängliga rapporteringen skickade Microsoft ut korrigeringar den 18 augusti 2026.

Vissa av källorna nämner också en tidigare åtgärd i februari 2026. Underlaget fastställer dock inte vilken del av attackkedjan den åtgärden täckte eller exakt hur den tekniskt skilde sig från åtgärden i augusti.

Var­onis har inte rapporterat några bevis för att CoSnitch utnyttjades i det fria. Det tillgängliga materialet visar inte heller att CVE-2026-24301 fanns med i CISA:s katalog över sårbarheter som är kända för att ha utnyttjats. Det betyder att materialet inte dokumenterar något angrepp i verkligheten – inte att det går att bevisa att ett sådant aldrig har ägt rum.

Gällde CoSnitch även Microsoft 365 Copilot Enterprise?

Forskningen som beskrivs i källorna fokuserade på Microsoft Copilot Personal. Konsekvenserna kunde ändå nå organisatorisk information om en person använde Copilot Personal samtidigt som assistenten var inloggad mot eller ansluten till företagstjänster.

Det är inte samma sak som att slå fast att Microsoft 365 Copilot Enterprise hade en separat, identisk sårbarhet. En av källorna gör uttryckligen den skillnaden, medan en annan sekundär rapport hävdar en bredare påverkan. Bevisningen i det tillgängliga materialet räcker inte för att avgöra motsättningen. Den försiktiga slutsatsen är därför att organisationer bör kontrollera anslutna kontons behörigheter och uppdateringsstatus, men inte beskriva forskningen som ett bevis på att Microsoft 365 Copilot Enterprise hade samma sårbarhet.

Kopplingen till Var­onis tidigare AI-forskning

CoSnitch ingår i en bredare serie resultat från Var­onis om AI-assistenter som kan agera på information som redan är tillgänglig för användaren:

• Reprompt handlade om att kringgå Copilots skydd genom att upprepa frågor.
• SearchLeak beskrevs som ett sätt att förvandla Microsoft 365 Copilot Enterprise till ett verktyg för tyst dataexfiltrering.
• RovoBlast gällde Atlassian Rovo och visade på en liknande risk: skadligt innehåll kunde styra en assistent med åtkomst till företagsinformation att lämna ut eller agera på uppgifterna.

Det som särskilde CoSnitch var upptäcktsmetoden. Forskarna nöjde sig inte med att placera skadliga instruktioner i innehåll. Genom att fråga Copilot varför automatisk körning borde misslyckas hittade de i stället den odokumenterade mekanism som gjorde attackkedjan möjlig. Kombinationen av självläckta tekniska detaljer, promptinjektion, behörig dataåtkomst och manipulation av bestående minne gjorde sårbarheten särskilt anmärkningsvärd.