CoSnitch: як Microsoft Copilot міг передати дані після одного кліку

Це перетворило теоретичний сценарій на практичний ланцюжок. Сам параметр autorun=1 не був усією вразливістю: його значення проявилося у взаємодії зі звичайним механізмом запитів Copilot та іншими можливостями асистента.

Три слабкі місця, з яких складався CoSnitch

1. Недокументований параметр автоматичного запуску

Copilot підтримував недокументований параметр autorun=1, який міг автоматично виконати промпт після завантаження сторінки в автентифікованій сесії. Параметр не виглядав як звичайний етап підтвердження з боку користувача, і саме це стало першою ланкою атаки.

2. Тиха ін’єкція промпту через підготовлене посилання

У поєднанні з параметром запиту Copilot q= значення autorun=1 дозволяло вставити промпт у спеціально сформоване посилання та запустити його, щойно жертва відкривала URL. У продемонстрованому сценарії користувачеві не потрібно було виконувати очевидну додаткову дію для підтвердження промпту.

Це важливо, оскільки атака переставала бути частиною розмови, яку користувач свідомо почав. Інструкція надходила із зовнішньої сторінки або повідомлення, а Copilot обробляв текст у межах уже відкритої сесії жертви.

3. Доступ до підключених даних і постійної пам’яті

Вставлений промпт міг наказати Copilot отримати інформацію, доступну через авторизовані підключення користувача, закодувати її та передати на кінцеву точку, контрольовану зловмисником, використовуючи можливість Copilot отримувати вміст за URL. Той самий ланцюжок міг змусити асистента підсумувати вебсторінку з контрольованим зловмисником вмістом, завдяки чому шкідливі інструкції могли потрапити до постійної пам’яті.

Отже, йшлося про більше, ніж звичайну ін’єкцію промпту. CoSnitch поєднав автоматичне виконання, доступ до даних, дозволених самим користувачем, і канал виведення інформації під контролем зловмисника. Ін’єкція в постійну пам’ять створювала додатковий ризик: шкідливі інструкції могли впливати на наступні взаємодії, а не лише на початкову розмову.

Які дані могли опинитися під загрозою?

CoSnitch не зламував кожен підключений сервіс окремо. Атака діяла в межах дозволів, які вже мала сесія Copilot жертви, тому потенційний масштаб залежав від підключених застосунків і наданих авторизацій. Серед згаданих прикладів — Gmail, Google Drive, OneDrive, календарі, електронна пошта, файли та історія чатів Copilot.

Це розмежування важливе для оцінки ризику. Користувач із мінімальною кількістю підключених сервісів мав би меншу поверхню доступу, ніж той, чий асистент міг шукати одночасно в особистій та організаційній інформації. Отже, межі атаки визначалися дозволами, наданими ШІ-асистенту.

CVE, рівень небезпеки, виправлення та експлуатація

Varonis позначила ланцюжок як CVE-2026-24301 і назвала його критичним. Водночас надані для цієї статті джерела не містять надійної числової оцінки CVSS, тому конкретний бал не слід виводити лише з позначення «критичний».

За словами Varonis, компанія повідомила Microsoft про CoSnitch у грудні 2025 року, а доступні публікації вказують, що Microsoft випустила виправлення 18 серпня 2026 року. Частина наданих матеріалів згадує попереднє пом’якшення проблеми в лютому 2026 року, однак не пояснює, яку саме частину ланцюжка воно закривало і чим технічно відрізнялося від серпневого виправлення.

Varonis повідомила, що не має доказів експлуатації CoSnitch у реальних атаках. Також надані матеріали не підтверджують, що CVE-2026-24301 внесли до каталогу відомих експлуатованих вразливостей CISA. Це означає лише відсутність документально підтвердженої експлуатації в розглянутих джерелах, а не доказ того, що її ніколи не було.

Чи постраждав Microsoft 365 Copilot Enterprise?

Описане дослідження стосувалося Microsoft Copilot Personal. Однак потенційний вплив міг поширитися на організаційну інформацію, якщо людина користувалася Copilot Personal, залишаючись автентифікованою в корпоративних сервісах або маючи їх підключеними.

Це не те саме, що підтверджена окрема вразливість Microsoft 365 Copilot Enterprise. Одне з наданих джерел прямо проводить таке розмежування, тоді як інший вторинний матеріал заявляє про ширший вплив на корпоративну версію. Наданих доказів недостатньо, щоб остаточно розв’язати цю суперечність. Обережний висновок для організацій — перевірити дозволи підключених облікових записів і статус оновлень, але не називати дослідження доказом того, що Microsoft 365 Copilot Enterprise мав ту саму вразливість.

Як CoSnitch пов’язаний із попередніми дослідженнями Varonis

CoSnitch став частиною ширшої серії досліджень Varonis щодо ШІ-асистентів, які можуть діяти з інформацією, уже доступною користувачеві:

• Reprompt стосувався обходу захисних обмежень Copilot завдяки повторенню запитів.
• SearchLeak Varonis описала як спосіб перетворити Microsoft 365 Copilot Enterprise на прихований інструмент виведення даних.
• RovoBlast продемонстрував споріднену проблему в Atlassian Rovo: шкідливий контент міг спрямувати асистента з доступом до корпоративної інформації на розкриття або використання цих даних.

Особливість CoSnitch — у способі відкриття вразливості. Дослідники не просто розмістили шкідливі інструкції у контенті, а використали пояснення Copilot про те, чому автоматичний запуск нібито неможливий, щоб знайти недокументований механізм атаки. Саме поєднання саморозкриття асистента, ін’єкції промпту, доступу до авторизованих даних і маніпуляції постійною пам’яттю зробило цей ланцюжок особливо показовим.