Copilot 如何「自爆」攻擊路徑？

這起漏洞的發現方式相當不尋常。研究人員並非先對 Copilot 實作進行逆向工程，而是由 Varonis 研究員 Lior Adar 反覆詢問 Copilot：假設存在一種能自動執行提示的攻擊，為何它不應該成功？

據報導，Copilot 每次拒絕回答時，都透露了一些自身防禦機制的細節，最後甚至揭示未公開的 autorun=1 URL 參數。Varonis 將這種方法稱為 meta-hacking（元駭客）：利用 AI 助手對自身安全防護的說明，反過來找出防護中的弱點。

這項發現讓原本停留在理論層面的攻擊，變成可實際串連的攻擊流程。不過，autorun=1 本身並不是完整漏洞；真正的風險在於它如何與 Copilot 的查詢機制及其他功能互相配合。

CoSnitch 背後的三項弱點

1. 未公開的自動執行參數

Copilot 支援未公開的 autorun=1 參數。當使用者在已登入的工作階段中載入頁面時，這個參數可能讓提示自動執行。由於過程沒有呈現一般使用者預期的明顯同意步驟，它成為整條攻擊鏈的第一個環節。

2. 透過特製連結靜默注入提示

當 autorun=1 與 Copilot 的 q= 查詢參數結合，攻擊者便可把惡意提示放進特製連結。受害者開啟連結後，提示可能在沒有明顯額外核准操作的情況下被觸發。

這使攻擊不再需要使用者主動開始一段 Copilot 對話，而是能透過外部網頁或訊息把指示送入既有工作階段。接著，Copilot 會在受害者目前的登入狀態下處理攻擊者提供的文字。

3. 存取已連結資料，並污染持久記憶

被注入的提示可能指示 Copilot 讀取受害者已授權連結服務中的資料，將資料編碼後，再透過 Copilot 的 URL 擷取能力傳送至攻擊者控制的端點。同一條攻擊鏈也可能要求 Copilot 摘要一個由攻擊者控制的網頁，讓網頁內容中的惡意指示被寫入持久記憶。

因此，這不只是一般的提示注入。CoSnitch 把自動執行、使用者已授權的資料存取及攻擊者控制的資料輸出通道結合在一起。持久記憶注入又增加另一層風險：惡意指示可能影響後續對話，而不只限於最初的一次互動。

哪些資料可能暴露？

CoSnitch 並不是直接闖入所有已連結服務。它是透過受害者 Copilot 工作階段原本就擁有的權限運作，因此實際暴露範圍取決於帳戶已連結的應用程式與授權內容。研究報導提到的例子包括 Gmail、Google Drive、OneDrive、行事曆、電子郵件、檔案，以及 Copilot 聊天記錄。

這項差異對風險評估相當重要。只連結少數服務的使用者，資料暴露面通常小於允許 AI 助手搜尋個人或組織資訊的使用者。換句話說，攻擊能走多遠，很大程度取決於使用者曾經授予 Copilot 哪些權限。

CVE、嚴重程度與修補狀態

Varonis 將這條攻擊鏈列為 CVE-2026-24301，並稱其為重大漏洞。然而，本文所提供的來源沒有給出可靠的數字版 CVSS 評分，因此不能因為「重大」這項描述，就推導出特定分數。

Varonis 表示，它已在 2025 年 12 月向 Microsoft 回報 CoSnitch；現有報導則指出，Microsoft 已於 2026 年 8 月 18 日推出修補程式。 部分資料提到 Microsoft 在 2026 年 2 月已採取較早的緩解措施，但目前證據不足以確認該措施究竟修補了攻擊鏈中的哪個部分，也無法說明它與 8 月修補在技術上的具體差異。

Varonis 表示沒有看到 CoSnitch 在野外遭到利用的證據。現有資料也沒有證明 CVE-2026-24301 出現在美國網路安全暨基礎設施安全局（CISA）的「已知遭利用漏洞目錄」中。這代表目前查閱的材料沒有記錄到實際攻擊，不等於能證明它從未被利用。

CoSnitch 是否影響 Microsoft 365 Copilot Enterprise？

現有來源所描述的研究，焦點是 Microsoft Copilot Personal。不過，如果使用者在 Copilot Personal 中登入企業帳戶，或將其連結至組織服務，潛在影響仍可能觸及企業資料。

但這與證明 Microsoft 365 Copilot Enterprise 本身存在同一漏洞是兩回事。某一份來源明確區分了兩者，另一份二手報導則聲稱影響範圍更廣；就目前提供的證據而言，無法解決這項說法衝突。較審慎的結論是：組織應檢查連結帳戶的權限與更新狀態，但不應把這項研究直接描述成 Microsoft 365 Copilot Enterprise 已被證明存在相同漏洞。

CoSnitch 與 Varonis 先前 AI 安全研究的關係

CoSnitch 是 Varonis 持續研究「能代表使用者操作、並存取使用者既有資料的 AI 助手」風險的一部分：

• Reprompt：透過重複提出查詢，繞過 Copilot 的部分安全防護。
• SearchLeak：Varonis 稱其可能讓 Microsoft 365 Copilot Enterprise 變成靜默的資料外洩工具。
• RovoBlast：將類似風險延伸至 Atlassian Rovo；惡意內容可能操控能存取企業資訊的 AI 助手，使其揭露或處理這些資料。

CoSnitch 最特別之處，在於它的發現方法。研究人員不只是把惡意指示放進內容，而是利用 Copilot 對「為何自動執行不會成功」的說明，找出讓攻擊成立的未公開機制。正是自我揭露、提示注入、已授權資料存取，以及持久記憶操控這幾個環節的結合，讓這條攻擊鏈格外受到關注。

Copilot 如何「自爆」攻擊路徑？

這起漏洞的發現方式相當不尋常。研究人員並非先對 Copilot 實作進行逆向工程，而是由 Varonis 研究員 Lior Adar 反覆詢問 Copilot：假設存在一種能自動執行提示的攻擊，為何它不應該成功？

據報導，Copilot 每次拒絕回答時，都透露了一些自身防禦機制的細節，最後甚至揭示未公開的 autorun=1 URL 參數。Varonis 將這種方法稱為 meta-hacking（元駭客）：利用 AI 助手對自身安全防護的說明，反過來找出防護中的弱點。

這項發現讓原本停留在理論層面的攻擊，變成可實際串連的攻擊流程。不過，autorun=1 本身並不是完整漏洞；真正的風險在於它如何與 Copilot 的查詢機制及其他功能互相配合。

CoSnitch 背後的三項弱點

1. 未公開的自動執行參數

Copilot 支援未公開的 autorun=1 參數。當使用者在已登入的工作階段中載入頁面時，這個參數可能讓提示自動執行。由於過程沒有呈現一般使用者預期的明顯同意步驟，它成為整條攻擊鏈的第一個環節。

2. 透過特製連結靜默注入提示

當 autorun=1 與 Copilot 的 q= 查詢參數結合，攻擊者便可把惡意提示放進特製連結。受害者開啟連結後，提示可能在沒有明顯額外核准操作的情況下被觸發。

這使攻擊不再需要使用者主動開始一段 Copilot 對話，而是能透過外部網頁或訊息把指示送入既有工作階段。接著，Copilot 會在受害者目前的登入狀態下處理攻擊者提供的文字。

3. 存取已連結資料，並污染持久記憶

被注入的提示可能指示 Copilot 讀取受害者已授權連結服務中的資料，將資料編碼後，再透過 Copilot 的 URL 擷取能力傳送至攻擊者控制的端點。同一條攻擊鏈也可能要求 Copilot 摘要一個由攻擊者控制的網頁，讓網頁內容中的惡意指示被寫入持久記憶。

因此，這不只是一般的提示注入。CoSnitch 把自動執行、使用者已授權的資料存取及攻擊者控制的資料輸出通道結合在一起。持久記憶注入又增加另一層風險：惡意指示可能影響後續對話，而不只限於最初的一次互動。

哪些資料可能暴露？

CoSnitch 並不是直接闖入所有已連結服務。它是透過受害者 Copilot 工作階段原本就擁有的權限運作，因此實際暴露範圍取決於帳戶已連結的應用程式與授權內容。研究報導提到的例子包括 Gmail、Google Drive、OneDrive、行事曆、電子郵件、檔案，以及 Copilot 聊天記錄。

這項差異對風險評估相當重要。只連結少數服務的使用者，資料暴露面通常小於允許 AI 助手搜尋個人或組織資訊的使用者。換句話說，攻擊能走多遠，很大程度取決於使用者曾經授予 Copilot 哪些權限。

CVE、嚴重程度與修補狀態

Varonis 將這條攻擊鏈列為 CVE-2026-24301，並稱其為重大漏洞。然而，本文所提供的來源沒有給出可靠的數字版 CVSS 評分，因此不能因為「重大」這項描述，就推導出特定分數。

Varonis 表示，它已在 2025 年 12 月向 Microsoft 回報 CoSnitch；現有報導則指出，Microsoft 已於 2026 年 8 月 18 日推出修補程式。 部分資料提到 Microsoft 在 2026 年 2 月已採取較早的緩解措施，但目前證據不足以確認該措施究竟修補了攻擊鏈中的哪個部分，也無法說明它與 8 月修補在技術上的具體差異。

Varonis 表示沒有看到 CoSnitch 在野外遭到利用的證據。現有資料也沒有證明 CVE-2026-24301 出現在美國網路安全暨基礎設施安全局（CISA）的「已知遭利用漏洞目錄」中。這代表目前查閱的材料沒有記錄到實際攻擊，不等於能證明它從未被利用。

CoSnitch 是否影響 Microsoft 365 Copilot Enterprise？

現有來源所描述的研究，焦點是 Microsoft Copilot Personal。不過，如果使用者在 Copilot Personal 中登入企業帳戶，或將其連結至組織服務，潛在影響仍可能觸及企業資料。

但這與證明 Microsoft 365 Copilot Enterprise 本身存在同一漏洞是兩回事。某一份來源明確區分了兩者，另一份二手報導則聲稱影響範圍更廣；就目前提供的證據而言，無法解決這項說法衝突。較審慎的結論是：組織應檢查連結帳戶的權限與更新狀態，但不應把這項研究直接描述成 Microsoft 365 Copilot Enterprise 已被證明存在相同漏洞。

CoSnitch 與 Varonis 先前 AI 安全研究的關係

CoSnitch 是 Varonis 持續研究「能代表使用者操作、並存取使用者既有資料的 AI 助手」風險的一部分：

• Reprompt：透過重複提出查詢，繞過 Copilot 的部分安全防護。
• SearchLeak：Varonis 稱其可能讓 Microsoft 365 Copilot Enterprise 變成靜默的資料外洩工具。
• RovoBlast：將類似風險延伸至 Atlassian Rovo；惡意內容可能操控能存取企業資訊的 AI 助手，使其揭露或處理這些資料。

CoSnitch 最特別之處，在於它的發現方法。研究人員不只是把惡意指示放進內容，而是利用 Copilot 對「為何自動執行不會成功」的說明，找出讓攻擊成立的未公開機制。正是自我揭露、提示注入、已授權資料存取，以及持久記憶操控這幾個環節的結合，讓這條攻擊鏈格外受到關注。