CoSnitch là gì? Cách một cú nhấp chuột có thể khiến Copilot làm lộ dữ liệu

CoSnitch không phải một lỗi đơn lẻ mà là chuỗi ba điểm yếu liên kết với nhau trong Microsoft Copilot Personal. Theo Varonis Threat Labs, một liên kết được tạo đặc biệt có thể kích hoạt lời nhắc do kẻ tấn công kiểm soát trong phiên Copilot mà nạn nhân đã đăng nhập, tận dụng quyền truy cập sẵn có vào các dịch vụ được kết nối và có khả năng cài chỉ dẫn vào bộ nhớ dài hạn của trợ lý. Varonis theo dõi chuỗi này dưới mã CVE-2026-24301 và đánh giá là nghiêm trọng. Tuy nhiên, các nguồn được cung cấp không xác nhận điểm số CVSS cụ thể.

“Meta-hacking” đã vạch ra đường tấn công như thế nào?

Phát hiện này đáng chú ý vì các nhà nghiên cứu không bắt đầu bằng việc dịch ngược mã nguồn hay mổ xẻ trực tiếp cách Copilot vận hành. Thay vào đó, Lior Adar liên tục hỏi Copilot vì sao một kịch bản tự động thực thi giả định sẽ không hoạt động.

Những câu trả lời từ chối của Copilot được cho là đã vô tình tiết lộ thông tin về cơ chế phòng vệ của chính nó. Cuối cùng, trợ lý để lộ tham số URL chưa được công bố autorun=1. Varonis gọi cách tiếp cận này là meta-hacking: khai thác câu trả lời của một hệ thống AI về các biện pháp bảo vệ của chính nó để tìm ra điểm yếu trong những biện pháp đó.

Phát hiện này biến một giả thuyết tấn công thành chuỗi khai thác thực tế. Bản thân autorun=1 chưa phải toàn bộ lỗ hổng; rủi ro xuất hiện khi nó kết hợp với cơ chế truy vấn thông thường và các khả năng truy cập dữ liệu khác của Copilot.

Ba điểm yếu tạo nên CoSnitch

1. Tham số tự động thực thi chưa được công bố

Copilot hỗ trợ tham số URL chưa được công bố autorun=1. Khi một trang được mở trong phiên đã xác thực, tham số này có thể khiến lời nhắc tự động chạy. Vì không xuất hiện như một bước xác nhận rõ ràng của người dùng, nó trở thành mắt xích đầu tiên trong chuỗi tấn công.

2. Chèn lời nhắc âm thầm qua liên kết được tạo sẵn

Khi kết hợp autorun=1 với tham số truy vấn q= của Copilot, kẻ tấn công có thể đưa lời nhắc độc hại vào một liên kết đặc biệt. Nếu nạn nhân mở liên kết, lời nhắc có thể được kích hoạt mà không cần thêm một thao tác phê duyệt dễ nhận biết.

Điểm đáng lo là cuộc tấn công không còn phụ thuộc vào việc người dùng chủ động bắt đầu một cuộc trò chuyện. Chỉ thị của kẻ tấn công được đưa vào từ một trang web hoặc tin nhắn bên ngoài, sau đó Copilot xử lý nó trong phiên đăng nhập hiện có của nạn nhân.

3. Truy cập dữ liệu kết nối và bộ nhớ dài hạn

Lời nhắc được chèn có thể hướng dẫn Copilot lấy thông tin mà các kết nối được nạn nhân cấp quyền cho phép truy cập, mã hóa thông tin đó rồi gửi tới một điểm cuối do kẻ tấn công kiểm soát thông qua khả năng truy xuất URL của Copilot.

Chuỗi tương tự cũng có thể khiến Copilot tóm tắt một trang web do kẻ tấn công kiểm soát. Nội dung độc hại trong trang này sau đó có khả năng được ghi vào bộ nhớ dài hạn, khiến các chỉ dẫn nguy hiểm ảnh hưởng đến những tương tác sau thay vì chỉ tác động đến cuộc trò chuyện ban đầu.

Vì vậy, CoSnitch nghiêm trọng hơn một vụ chèn lời nhắc thông thường. Nó kết hợp tự động thực thi, truy cập thông tin đã được người dùng cấp quyền và kênh xuất dữ liệu do kẻ tấn công kiểm soát. Việc can thiệp vào bộ nhớ dài hạn còn mở rộng phạm vi ảnh hưởng theo thời gian.

Những loại dữ liệu nào có thể bị lộ?

CoSnitch không tự mình đột nhập vào mọi dịch vụ được kết nối. Chuỗi tấn công hoạt động dựa trên các quyền mà phiên Copilot của nạn nhân đã có, nên mức độ phơi nhiễm phụ thuộc vào những ứng dụng và tài khoản đã được liên kết.

Các ví dụ được nêu trong các báo cáo gồm Gmail, Google Drive, OneDrive, lịch, email, tệp tin và lịch sử trò chuyện Copilot.

Đây là điểm quan trọng khi đánh giá rủi ro. Người dùng chỉ kết nối một vài dịch vụ sẽ có bề mặt dữ liệu nhỏ hơn người cho phép trợ lý tìm kiếm trên nhiều nguồn thông tin cá nhân hoặc tổ chức. Nói cách khác, phạm vi tấn công được quyết định đáng kể bởi những quyền đã cấp cho AI.

Mã CVE, mức độ nghiêm trọng và tình trạng bản vá

Varonis xác định chuỗi CoSnitch bằng mã CVE-2026-24301 và gọi đây là lỗ hổng nghiêm trọng. Tuy nhiên, không nên tự suy ra một con số CVSS cụ thể chỉ từ nhãn “critical”, bởi các nguồn được cung cấp không đưa ra điểm số đáng tin cậy cho CVE này.

Varonis cho biết đã báo cáo CoSnitch cho Microsoft vào tháng 12/2025. Các thông tin hiện có cho biết Microsoft đã phát hành bản vá vào ngày 18/8/2026.

Một số tài liệu được cung cấp nhắc đến biện pháp giảm thiểu sớm hơn vào tháng 2/2026. Tuy nhiên, các tài liệu này không xác định rõ biện pháp đó xử lý phần nào của chuỗi, cũng như khác biệt kỹ thuật giữa biện pháp tháng 2 và đợt khắc phục tháng 8. Vì vậy, không nên khẳng định chi tiết hơn những gì bằng chứng hiện có cho phép.

Varonis cho biết chưa thấy bằng chứng CoSnitch bị khai thác ngoài thực tế. Các tài liệu được xem xét cũng không chứng minh CVE-2026-24301 đã xuất hiện trong Danh mục Lỗ hổng bị khai thác đã biết của CISA. Điều này có nghĩa là chưa có vụ khai thác thực tế nào được ghi nhận trong số nguồn hiện có, chứ không phải bằng chứng rằng lỗ hổng chắc chắn chưa từng bị khai thác.

CoSnitch có ảnh hưởng đến Microsoft 365 Copilot Enterprise không?

Nghiên cứu được mô tả trong các nguồn tập trung vào Microsoft Copilot Personal. Dù vậy, dữ liệu doanh nghiệp vẫn có thể nằm trong phạm vi rủi ro nếu một người sử dụng Copilot Personal trong khi đang đăng nhập hoặc kết nối với các dịch vụ của tổ chức.

Điều này khác với việc khẳng định Microsoft 365 Copilot Enterprise có cùng một lỗ hổng độc lập. Một nguồn được cung cấp nêu rõ sự khác biệt này, trong khi một báo cáo thứ cấp lại cho rằng phạm vi ảnh hưởng rộng hơn. Bằng chứng hiện có chưa đủ để giải quyết mâu thuẫn đó.

Kết luận thận trọng là các tổ chức nên rà soát quyền của những tài khoản đã kết nối với AI và kiểm tra trạng thái cập nhật, nhưng không nên mô tả nghiên cứu này như bằng chứng xác nhận Microsoft 365 Copilot Enterprise mắc đúng lỗ hổng tương tự.

CoSnitch liên quan gì đến Reprompt, SearchLeak và RovoBlast?

CoSnitch nằm trong chuỗi nghiên cứu rộng hơn của Varonis về các trợ lý AI có thể hành động trên dữ liệu vốn đã được người dùng cấp quyền truy cập:

• Reprompt liên quan đến việc vượt qua một số hàng rào bảo vệ của Copilot bằng cách lặp lại truy vấn.
• SearchLeak được mô tả là biến Microsoft 365 Copilot Enterprise thành một công cụ âm thầm đưa dữ liệu ra ngoài.
• RovoBlast mở rộng mối lo tương tự sang Atlassian Rovo, nơi nội dung độc hại có thể điều hướng một trợ lý đang truy cập thông tin doanh nghiệp để tiết lộ hoặc thực hiện hành động trên dữ liệu đó.

Điểm khác biệt của CoSnitch nằm ở cách phát hiện. Thay vì chỉ chèn chỉ dẫn độc hại vào nội dung, các nhà nghiên cứu đã dùng chính lời giải thích của Copilot về lý do tự động thực thi không thể xảy ra để lần ra cơ chế chưa được công bố giúp cuộc tấn công hoạt động.

Sự kết hợp giữa việc AI vô tình tiết lộ cơ chế phòng vệ, chèn lời nhắc, truy cập dữ liệu được cấp quyền và thao túng bộ nhớ dài hạn là yếu tố khiến CoSnitch trở thành một phát hiện đặc biệt đáng chú ý trong nghiên cứu an ninh AI.