CoSnitch漏洞详解：一个链接如何让Copilot暴露用户关联数据

这一发现让原本停留在理论层面的攻击变成了可操作的攻击链。但需要注意的是，autorun=1本身并不是全部问题；真正的风险来自它与Copilot常规查询机制及其他能力的组合方式。

CoSnitch背后的三项弱点

1. 未公开的自动执行参数

Copilot支持一个未公开的autorun=1参数。在用户已登录的会话中，当页面加载时，该参数可能让提示词自动运行。它没有以常规的用户授权确认步骤呈现，因此成为整条攻击链的第一环。

2. 通过恶意链接静默注入提示词

当autorun=1与Copilot的q=查询参数结合时，攻击者可以把恶意提示词嵌入特制链接。受害者打开链接后，提示词可能被自动触发，而不需要明显的额外批准操作。

这改变了传统攻击的入口：受害者不必主动发起一次Copilot对话，攻击者也能通过网页、邮件或其他外部内容把指令送入其现有会话。Copilot随后会在受害者的登录环境中处理这段攻击者文本。

3. 读取关联数据并污染持久记忆

注入的提示词可以要求Copilot读取受害者通过授权连接可访问的信息，将数据编码后，再借助Copilot的URL抓取能力发送到攻击者控制的终端。研究还显示，同一攻击链可能让Copilot总结攻击者控制的网页，并使网页中的恶意指令被写入持久记忆。

因此，CoSnitch的影响并不只是普通的提示词注入。它把三种能力结合起来：自动执行、访问用户已授权的信息，以及攻击者控制的输出通道。而持久记忆注入又增加了一层风险：恶意指令可能影响后续对话，而不仅仅是当前这一次交互。

哪些数据可能暴露？

CoSnitch并不是直接攻破每一个关联服务。它借助的是受害者Copilot会话本来就拥有的权限，因此实际暴露范围取决于账户连接了哪些应用、授予了哪些授权。

报道中提到的潜在数据来源包括：

• Gmail
• Google Drive
• OneDrive
• 日历
• 电子邮件
• 文件
• Copilot聊天记录

这一区别对风险评估很重要。连接服务较少的用户，其可被访问的数据范围相对有限；如果Copilot能够跨个人或组织信息进行搜索，攻击面的规模就会明显扩大。归根结底，攻击能走多远，取决于用户授予AI助手的权限。

CVE、严重性与修复时间线

Varonis将CoSnitch登记为 CVE-2026-24301，并将其定性为严重漏洞。不过，本文所用来源没有给出可靠的数值型CVSS评级，因此不能仅凭“严重”这一描述推断具体分数。

Varonis表示，它已于 2025年12月 向微软报告CoSnitch；现有报道显示，微软在 2026年8月18日 发布了修复补丁。

部分材料还提到微软在2026年2月采取过较早的缓解措施，但现有证据没有说明该措施具体修复了攻击链中的哪一环，也无法确定它与8月修复在技术上有何区别。因此，更稳妥的表述是：微软在2月曾采取过早期缓解措施，并在8月18日完成或进一步强化了修复。

Varonis表示没有发现CoSnitch已在现实攻击中遭到利用的证据。现有材料也没有证明CVE-2026-24301出现在美国网络安全和基础设施安全局（CISA）的“已知被利用漏洞目录”中。这意味着目前审阅到的资料没有记录在野外利用，并不等于能够证明它从未被利用。

对Copilot Personal和企业版意味着什么？

研究重点是 Microsoft Copilot Personal。不过，如果用户在使用Copilot Personal时同时登录或连接了企业服务，攻击造成的潜在影响可能波及组织数据。

这与“Microsoft 365 Copilot Enterprise本身存在同一漏洞”并不是一回事。一份来源明确区分了这两种情况，另一份二手报道则声称影响范围更广；现有证据不足以解决这一冲突。

更谨慎的结论是：组织应检查关联账户的权限、连接的应用以及补丁状态，但不应把这项研究直接描述为已经证明Microsoft 365 Copilot Enterprise存在同样的漏洞。

CoSnitch与Varonis此前的AI安全研究

CoSnitch属于Varonis围绕“AI助手如何使用用户已有权限处理数据”开展的一系列研究：

• Reprompt：通过重复提问，绕过Copilot的部分安全防护。
• SearchLeak：Varonis称其可能将Microsoft 365 Copilot Enterprise变成一种隐蔽的数据外传工具。
• RovoBlast：将类似风险延伸至Atlassian Rovo，即恶意内容可能诱导一个能够访问企业信息的AI助手披露数据或执行相关操作。

CoSnitch最特别之处在于它的发现方式。研究人员不只是把恶意指令藏进内容，而是通过Copilot对“为什么自动执行不应成功”的解释，反推出使攻击成立的未公开机制。正是AI自我披露、提示词注入、已授权数据访问和持久记忆操控的结合，使这条攻击链格外值得关注。