Saldırı yolu “meta-hacking” ile nasıl bulundu?

Keşfin dikkat çekici yönü, araştırmacıların Copilot’un kodunu tersine mühendislikle inceleyerek başlamamış olmasıydı. Varonis araştırmacısı Lior Adar, varsayımsal bir otomatik çalıştırma saldırısının neden işe yaramaması gerektiğini Copilot’a tekrar tekrar sordu. Copilot’un ret yanıtlarının kendi savunmaları hakkında teknik ayrıntılar verdiği ve sonunda belgelenmemiş autorun=1 URL parametresini açığa çıkardığı bildirildi.

Varonis bu yönteme meta-hacking adını verdi: Bir yapay zekâ asistanının kendi güvenlik önlemleri hakkında verdiği yanıtları kullanarak, yine bu önlemlerdeki zayıflıkları keşfetmek. Böylece yalnızca teorik görünen bir saldırı, Copilot’un normal sorgu mekanizması ve diğer özellikleriyle birleşen uygulanabilir bir zincire dönüştü.

CoSnitch’i oluşturan üç zayıflık

1. Belgelenmemiş otomatik çalıştırma parametresi

Copilot, kimliği doğrulanmış bir oturumda sayfa yüklendiğinde bir istemin otomatik olarak çalıştırılmasını sağlayabilen belgelenmemiş autorun=1 parametresini destekliyordu. Parametre, olağan bir kullanıcı onayı adımı olarak sunulmadığı için saldırı zincirinin ilk halkasını oluşturdu.

2. Hazırlanmış bağlantıyla sessiz istem enjeksiyonu

autorun=1 parametresi, Copilot’un q= sorgu parametresiyle birlikte kullanıldığında saldırganın özel olarak hazırladığı bir bağlantıya istem yerleştirmesine ve kurban bağlantıyı açtığında bu istemi çalıştırmasına olanak tanıyabiliyordu. Gösterimde, kurbanın belirgin bir ek onay vermesi gerekmiyordu.

Bu durum saldırıyı, kullanıcının bilerek başlattığı bir sohbetten çıkarıp e-posta, belge, web sayfası veya benzeri bir dış içerik üzerinden iletilen talimata dönüştürüyordu. Copilot, saldırganın metnini kurbanın mevcut oturumu ve yetkileri içinde işliyordu.

3. Bağlı verilere erişim ve kalıcı belleğin değiştirilmesi

Enjekte edilen istem, Copilot’a kurbanın yetkilendirdiği bağlı hizmetlerdeki bilgileri toplamasını, bu bilgileri kodlamasını ve Copilot’un URL’den içerik çekme özelliğini kullanarak saldırganın kontrolündeki bir uç noktaya göndermesini söyleyebiliyordu. Aynı zincir, Copilot’un saldırgan tarafından kontrol edilen bir web sayfasını özetlemesini de sağlayabiliyor; sayfadaki kötü amaçlı talimatlar daha sonra kalıcı belleğe yazdırılabiliyordu.

Bu nedenle sonuç, sıradan bir istem enjeksiyonundan daha kapsamlıydı. Saldırı; otomatik çalıştırmayı, kullanıcının yapay zekâ asistanına verdiği yetkilerle erişilebilen bilgileri ve saldırganın kontrol ettiği bir veri çıkış kanalını bir araya getiriyordu. Kalıcı belleğin etkilenmesi, kötü amaçlı talimatların yalnızca ilk sohbeti değil, sonraki etkileşimleri de etkilemesi riskini doğuruyordu.

Hangi bilgiler açığa çıkabilirdi?

CoSnitch, bağlı hizmetlere bağımsız olarak sızmıyordu; kurbanın Copilot oturumunda zaten bulunan izinleri kullanıyordu. Bu nedenle olası veri erişiminin kapsamı, hesaba hangi uygulamaların bağlandığına ve hangi yetkilerin verildiğine bağlıydı. Bildirilen örnekler arasında Gmail, Google Drive, OneDrive, takvimler, e-postalar, dosyalar ve Copilot sohbet geçmişi yer aldı.

Bu ayrım, risk değerlendirmesi açısından önemli. Az sayıda hizmete bağlı bir hesabın veri yüzeyi daha sınırlı olurken, kişisel veya kurumsal bilgileri birden fazla kaynaktan arayabilen bir Copilot oturumu daha geniş bir erişim alanı sunuyordu. Başka bir deyişle saldırının erişim gücünü, yapay zekâ asistanına tanınan izinler belirliyordu.

CVE, önem derecesi ve Microsoft’un düzeltmeleri

Varonis, CoSnitch zincirini CVE-2026-24301 olarak tanımladı ve kritik olarak nitelendirdi. Bununla birlikte, sağlanan kaynaklarda sayısal bir CVSS derecelendirmesi bulunmuyor. Bu nedenle “kritik” ifadesinden belirli bir puan çıkarılmamalı.

Varonis, CoSnitch’i Microsoft’a Aralık 2025’te bildirdiğini söyledi. Mevcut haber ve araştırma materyallerine göre Microsoft, 18 Ağustos 2026’da yamaları yayımladı. Bazı kaynaklarda Şubat 2026’da uygulanan daha erken bir azaltımdan da söz ediliyor; ancak bu önlemin zincirin hangi bölümünü giderdiği veya ağustos ayındaki düzeltmeden teknik olarak nasıl ayrıldığı sağlanan kanıtlarda netleşmiyor.

Varonis, CoSnitch’in gerçek dünyada kullanıldığına dair kanıt görmediğini bildirdi. İncelenen materyal, CVE-2026-24301’in ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) Known Exploited Vulnerabilities Catalog listesinde yer aldığını da göstermiyor. Bu, belgelenmiş bir saldırı olmadığını ortaya koyuyor; ancak açığın hiçbir zaman kullanılmadığının kanıtı değil.

Microsoft 365 Copilot Enterprise da etkilendi mi?

Sağlanan araştırma, doğrudan Microsoft Copilot Personal sürümüne odaklanıyor. Bununla birlikte, bir kişi Copilot Personal’ı kullanırken kurumsal hizmetlere de kimliği doğrulanmış veya bağlı durumdaysa, olası etki kurumsal bilgilere kadar uzanabiliyordu.

Bu durum, Microsoft 365 Copilot Enterprise’ın kendisinde bağımsız olarak aynı açığın bulunduğunun kanıtlandığı anlamına gelmiyor. Sağlanan kaynaklardan biri bu ayrımı açıkça yaparken, ikincil bir rapor daha geniş bir kurumsal etki iddiasında bulunuyor; mevcut kanıtlar bu çelişkiyi çözmek için yeterli değil. En temkinli sonuç, kuruluşların bağlı hesap izinlerini ve güncelleme durumunu kontrol etmesi; ancak araştırmayı Microsoft 365 Copilot Enterprise’ın da aynı zafiyete sahip olduğunun kanıtı olarak sunmaması.

CoSnitch, Varonis’in önceki yapay zekâ araştırmalarıyla nasıl bağlantılı?

CoSnitch, Varonis Threat Labs’in kullanıcıların zaten erişebildiği veriler üzerinde işlem yapabilen yapay zekâ asistanlarına ilişkin daha geniş araştırma dizisinin bir parçasıydı:

• Reprompt, sorguların tekrarlanmasıyla Copilot’un güvenlik bariyerlerinin aşılabildiğini öne sürdü.
• SearchLeak, Microsoft 365 Copilot Enterprise’ın sessiz bir veri dışarı çıkarma aracına dönüştürülebileceği iddiasını ele aldı.
• RovoBlast ise benzer bir riski Atlassian Rovo’ya taşıdı; kurumsal bilgilere erişebilen asistan, kötü amaçlı içeriklerle yönlendirilerek bu verileri açıklamaya veya veriler üzerinde işlem yapmaya sevk edilebiliyordu.

CoSnitch’in ayırt edici yönü, keşfedilme biçimiydi. Araştırmacılar yalnızca içerik içine kötü amaçlı talimatlar yerleştirmekle kalmadı; otomatik çalıştırmanın neden başarısız olması gerektiğini Copilot’a anlattırarak saldırıyı mümkün kılan belgelenmemiş mekanizmayı ortaya çıkardı. Asistanın kendi savunmaları hakkında bilgi vermesi; istem enjeksiyonu, yetkili verilere erişim ve kalıcı belleğin değiştirilmesiyle birleşince CoSnitch’i dikkat çekici bir saldırı zincirine dönüştürdü.

Saldırı yolu “meta-hacking” ile nasıl bulundu?

Keşfin dikkat çekici yönü, araştırmacıların Copilot’un kodunu tersine mühendislikle inceleyerek başlamamış olmasıydı. Varonis araştırmacısı Lior Adar, varsayımsal bir otomatik çalıştırma saldırısının neden işe yaramaması gerektiğini Copilot’a tekrar tekrar sordu. Copilot’un ret yanıtlarının kendi savunmaları hakkında teknik ayrıntılar verdiği ve sonunda belgelenmemiş autorun=1 URL parametresini açığa çıkardığı bildirildi.

Varonis bu yönteme meta-hacking adını verdi: Bir yapay zekâ asistanının kendi güvenlik önlemleri hakkında verdiği yanıtları kullanarak, yine bu önlemlerdeki zayıflıkları keşfetmek. Böylece yalnızca teorik görünen bir saldırı, Copilot’un normal sorgu mekanizması ve diğer özellikleriyle birleşen uygulanabilir bir zincire dönüştü.

CoSnitch’i oluşturan üç zayıflık

1. Belgelenmemiş otomatik çalıştırma parametresi

Copilot, kimliği doğrulanmış bir oturumda sayfa yüklendiğinde bir istemin otomatik olarak çalıştırılmasını sağlayabilen belgelenmemiş autorun=1 parametresini destekliyordu. Parametre, olağan bir kullanıcı onayı adımı olarak sunulmadığı için saldırı zincirinin ilk halkasını oluşturdu.

2. Hazırlanmış bağlantıyla sessiz istem enjeksiyonu

autorun=1 parametresi, Copilot’un q= sorgu parametresiyle birlikte kullanıldığında saldırganın özel olarak hazırladığı bir bağlantıya istem yerleştirmesine ve kurban bağlantıyı açtığında bu istemi çalıştırmasına olanak tanıyabiliyordu. Gösterimde, kurbanın belirgin bir ek onay vermesi gerekmiyordu.

Bu durum saldırıyı, kullanıcının bilerek başlattığı bir sohbetten çıkarıp e-posta, belge, web sayfası veya benzeri bir dış içerik üzerinden iletilen talimata dönüştürüyordu. Copilot, saldırganın metnini kurbanın mevcut oturumu ve yetkileri içinde işliyordu.

3. Bağlı verilere erişim ve kalıcı belleğin değiştirilmesi

Enjekte edilen istem, Copilot’a kurbanın yetkilendirdiği bağlı hizmetlerdeki bilgileri toplamasını, bu bilgileri kodlamasını ve Copilot’un URL’den içerik çekme özelliğini kullanarak saldırganın kontrolündeki bir uç noktaya göndermesini söyleyebiliyordu. Aynı zincir, Copilot’un saldırgan tarafından kontrol edilen bir web sayfasını özetlemesini de sağlayabiliyor; sayfadaki kötü amaçlı talimatlar daha sonra kalıcı belleğe yazdırılabiliyordu.

Bu nedenle sonuç, sıradan bir istem enjeksiyonundan daha kapsamlıydı. Saldırı; otomatik çalıştırmayı, kullanıcının yapay zekâ asistanına verdiği yetkilerle erişilebilen bilgileri ve saldırganın kontrol ettiği bir veri çıkış kanalını bir araya getiriyordu. Kalıcı belleğin etkilenmesi, kötü amaçlı talimatların yalnızca ilk sohbeti değil, sonraki etkileşimleri de etkilemesi riskini doğuruyordu.

Hangi bilgiler açığa çıkabilirdi?

CoSnitch, bağlı hizmetlere bağımsız olarak sızmıyordu; kurbanın Copilot oturumunda zaten bulunan izinleri kullanıyordu. Bu nedenle olası veri erişiminin kapsamı, hesaba hangi uygulamaların bağlandığına ve hangi yetkilerin verildiğine bağlıydı. Bildirilen örnekler arasında Gmail, Google Drive, OneDrive, takvimler, e-postalar, dosyalar ve Copilot sohbet geçmişi yer aldı.

Bu ayrım, risk değerlendirmesi açısından önemli. Az sayıda hizmete bağlı bir hesabın veri yüzeyi daha sınırlı olurken, kişisel veya kurumsal bilgileri birden fazla kaynaktan arayabilen bir Copilot oturumu daha geniş bir erişim alanı sunuyordu. Başka bir deyişle saldırının erişim gücünü, yapay zekâ asistanına tanınan izinler belirliyordu.

CVE, önem derecesi ve Microsoft’un düzeltmeleri

Varonis, CoSnitch zincirini CVE-2026-24301 olarak tanımladı ve kritik olarak nitelendirdi. Bununla birlikte, sağlanan kaynaklarda sayısal bir CVSS derecelendirmesi bulunmuyor. Bu nedenle “kritik” ifadesinden belirli bir puan çıkarılmamalı.

Varonis, CoSnitch’i Microsoft’a Aralık 2025’te bildirdiğini söyledi. Mevcut haber ve araştırma materyallerine göre Microsoft, 18 Ağustos 2026’da yamaları yayımladı. Bazı kaynaklarda Şubat 2026’da uygulanan daha erken bir azaltımdan da söz ediliyor; ancak bu önlemin zincirin hangi bölümünü giderdiği veya ağustos ayındaki düzeltmeden teknik olarak nasıl ayrıldığı sağlanan kanıtlarda netleşmiyor.

Varonis, CoSnitch’in gerçek dünyada kullanıldığına dair kanıt görmediğini bildirdi. İncelenen materyal, CVE-2026-24301’in ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) Known Exploited Vulnerabilities Catalog listesinde yer aldığını da göstermiyor. Bu, belgelenmiş bir saldırı olmadığını ortaya koyuyor; ancak açığın hiçbir zaman kullanılmadığının kanıtı değil.

Microsoft 365 Copilot Enterprise da etkilendi mi?

Sağlanan araştırma, doğrudan Microsoft Copilot Personal sürümüne odaklanıyor. Bununla birlikte, bir kişi Copilot Personal’ı kullanırken kurumsal hizmetlere de kimliği doğrulanmış veya bağlı durumdaysa, olası etki kurumsal bilgilere kadar uzanabiliyordu.

Bu durum, Microsoft 365 Copilot Enterprise’ın kendisinde bağımsız olarak aynı açığın bulunduğunun kanıtlandığı anlamına gelmiyor. Sağlanan kaynaklardan biri bu ayrımı açıkça yaparken, ikincil bir rapor daha geniş bir kurumsal etki iddiasında bulunuyor; mevcut kanıtlar bu çelişkiyi çözmek için yeterli değil. En temkinli sonuç, kuruluşların bağlı hesap izinlerini ve güncelleme durumunu kontrol etmesi; ancak araştırmayı Microsoft 365 Copilot Enterprise’ın da aynı zafiyete sahip olduğunun kanıtı olarak sunmaması.

CoSnitch, Varonis’in önceki yapay zekâ araştırmalarıyla nasıl bağlantılı?

CoSnitch, Varonis Threat Labs’in kullanıcıların zaten erişebildiği veriler üzerinde işlem yapabilen yapay zekâ asistanlarına ilişkin daha geniş araştırma dizisinin bir parçasıydı:

• Reprompt, sorguların tekrarlanmasıyla Copilot’un güvenlik bariyerlerinin aşılabildiğini öne sürdü.
• SearchLeak, Microsoft 365 Copilot Enterprise’ın sessiz bir veri dışarı çıkarma aracına dönüştürülebileceği iddiasını ele aldı.
• RovoBlast ise benzer bir riski Atlassian Rovo’ya taşıdı; kurumsal bilgilere erişebilen asistan, kötü amaçlı içeriklerle yönlendirilerek bu verileri açıklamaya veya veriler üzerinde işlem yapmaya sevk edilebiliyordu.

CoSnitch’in ayırt edici yönü, keşfedilme biçimiydi. Araştırmacılar yalnızca içerik içine kötü amaçlı talimatlar yerleştirmekle kalmadı; otomatik çalıştırmanın neden başarısız olması gerektiğini Copilot’a anlattırarak saldırıyı mümkün kılan belgelenmemiş mekanizmayı ortaya çıkardı. Asistanın kendi savunmaları hakkında bilgi vermesi; istem enjeksiyonu, yetkili verilere erişim ve kalıcı belleğin değiştirilmesiyle birleşince CoSnitch’i dikkat çekici bir saldırı zincirine dönüştürdü.