CoSnitch (CVE-2026-24301): Un enlace, un prompt y una memoria que sobrevivió al reenrolamiento

Microsoft corrigió una cadena de fallos de tres partes en Copilot Personal el 18 de agosto de 2026 que permitía que un solo enlace manipulado ejecutara el prompt de un atacante dentro de la sesión autenticada de una víctima y luego enviara lo que encontraba hacia fuera a través del propio acceso de red de Copilot. Varonis Threat Labs, que notificó los problemas a Microsoft en diciembre de 2025 y publicó su análisis el día en que se publicó la corrección, denominó la investigación CoSnitch. Microsoft la registra como CVE-2026-24301, «Vulnerabilidad de divulgación de información de Microsoft Copilot», clasificada bajo CWE-77 como un fallo de inyección de comandos que permite que un atacante no autorizado divulgue información a través de una red. La cadena alcanzó los cuerpos de los mensajes de Gmail y Outlook, las entradas de Google Calendar, los nombres de archivos de Google Drive, el historial de chats de Copilot y la memoria de Copilot — todos ellos eran datos que el usuario ya había autorizado a Copilot a leer. Una tercera etapa escribió instrucciones en la memoria persistente de Copilot que, según Varonis, sobrevivían a cambios de contraseña, a la revocación de sesiones y a la reinscripción de dispositivos. Ni Varonis ni la propia entrada de Microsoft registran ninguna explotación en entornos reales. El registro completo, con su grado de confianza y las fuentes citadas, se conserva en Orca AI Incident Archive, junto a las entradas vecinas del conjunto.

Cómo un enlace se convirtió en una consulta para toda la sesión

El desencadenante era una cadena de consulta. Copilot Personal acepta un parámetro q que rellena previamente el cuadro de chat con texto suministrado por un enlace, dejando al usuario pulsar Enter; una función que existe para que un marcador o una página externa puedan entregar al asistente un prompt para que lo revise. Varonis encontró un segundo parámetro no documentado, autorun=1, que eliminaba el paso de revisión. Una URL con la forma copilot.microsoft.com/?q= seguida del prompt del atacante y autorun=1 ejecutaba ese prompt cuando se cargaba la página, y los investigadores informan de que la ejecución se completa incluso si la pestaña se cierra inmediatamente después. El prompt se ejecuta con el contexto de sesión, los conectores y la memoria de la víctima, por lo que la cadena podía llegar a datos para los que el atacante nunca tuvo credenciales.

La segunda etapa es la exfiltración. El prompt inyectado consultaba aplicaciones conectadas, opcionalmente concatenaba los resultados, los codificaba en base64 como una cadena segura para URL e indicaba a Copilot que accediera a una dirección controlada por el atacante. La propia capacidad de Copilot para obtener y resumir URL realizó la solicitud, por lo que el tráfico saliente se parecía a la navegación habitual. La muestra de Varonis utilizó un host de webhook de Pipedream como punto de recolección, con la carga útil en la ruta de la URL. Las clases de datos que enumeran los investigadores son específicas: cuerpos completos de mensajes, líneas de asunto y metadatos del remitente y destinatario del correo, incluidas contraseñas en texto plano, contraseñas internas del sistema y enlaces de restablecimiento; títulos de calendario, asistentes, horarios y ubicaciones; nombres de archivos y resúmenes de metadatos de Drive; historial de chat anterior; y las instrucciones guardadas en la memoria de Copilot. La codificación base64, señala Varonis, también hace que la solicitud saliente sea más difícil para los filtros que buscan patrones sensibles.

La tercera etapa es la que perdura más allá de la sesión. Una página que Copilot resume puede contener instrucciones ocultas en texto blanco de un píxel, comentarios HTML, párrafos ocultos con CSS o metadatos, y Varonis informa que Copilot trató esas cadenas como directivas en lugar de como contenido. En una demostración, la memoria inyectada afirmaba que una CVE era inofensiva, para que Copilot suprimiera la advertencia más tarde; el mismo mecanismo podría usarse para filtrar resultados, sesgar respuestas o desencadenar acciones ante una condición. Las entradas de memoria no tienen caducidad y no se restablecen al cerrar sesión; residen en un almacén a nivel de usuario en lugar de en la sesión. Los investigadores dicen que la única forma de borrar una es mediante la configuración de memoria de Copilot, cuya existencia la mayoría de los usuarios desconoce.

El parámetro Copilot se nombró a sí mismo

Varonis llama al método de descubrimiento meta-hacking: «ingeniería social del propio motor de razonamiento», según la formulación del propio blog, o «no explotas el modelo, lo manipulas para que coopere». Los investigadores empezaron preguntando a Copilot cómo se podía hacer que un prompt se ejecutara sin interacción del usuario. Copilot respondió que se requería la intención del usuario y que los prompts no se activaban por sí solos. Cada negativa, no obstante, incluía detalles técnicos sobre cómo se gestionaban los prompts, y los investigadores reformularon la siguiente pregunta como un seguimiento ordinario sobre la estructura de URL, los enlaces profundos y las páginas que se cargan con los campos de entrada ya rellenados. Según el blog, Copilot reveló entonces el parámetro no documentado sin que se le pidiera, en medio de una negativa, junto con su comportamiento histórico y las protecciones que se habían añadido para desactivarlo. Los investigadores construyeron la URL tal como se describía y el prompt se ejecutó.

Ese relato de la conversación es exclusivo de Varonis. El blog dice que las preguntas específicas sobre meta-hacking no se reproducen literalmente, y la declaración pública de Microsoft sobre la vulnerabilidad, citada por Dark Reading, no aborda en absoluto la técnica. Lior Adar, el investigador sénior de Varonis que escribió el análisis, dijo a Dark Reading que Copilot «nos entregó las llaves» y que el elemento de meta-hacking es la parte de la investigación que espera que siga siendo relevante. El resumen del propio blog es más contundente: «A Copilot no se le vulneró; se jugó con él».

Lo que Microsoft corrigió y lo que revelan sus registros de entrada

La entrada de la Guía de actualizaciones de seguridad de Microsoft para CVE-2026-24301 se publicó el 18 de agosto de 2026 en la versión 2026-Aug y se revisó por última vez el 25 de agosto de 2026. Clasifica el problema como Crítico con una puntuación base de CVSS 3.1 de 8,8 y una puntuación temporal de 7,7; el vector es AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. El archivo cataloga este registro como de gravedad alta, que es la banda en la que se sitúa una puntuación base de 8,8 según CVSS 3.1 — la etiqueta de gravedad de Microsoft en esa misma entrada es Crítica. Dos campos importan más que el número: Microsoft registra el problema como no divulgado públicamente antes del parche y como no explotado.

La entrada no incluye ningún parche que instalar, y las preguntas frecuentes de Microsoft lo dicen directamente: «Esta vulnerabilidad ya ha sido mitigada por completo por Microsoft. No hay ninguna acción que los usuarios de este servicio deban tomar. El propósito de este CVE es proporcionar mayor transparencia». La declaración que Microsoft dio a Dark Reading el día de la publicación dice lo mismo —«Nuestros clientes ya están protegidos y no necesitan tomar ninguna acción»— y añade: «Actualizamos continuamente nuestras salvaguardas para reforzar nuestras protecciones contra técnicas similares». Varonis atribuye el mérito a la colaboración de Microsoft en la corrección y no cuestiona el momento.

La duración de la ventana es el dato en el que se centró la mayor parte de la cobertura: notificado en diciembre de 2025, parcheado el 18 de agosto de 2026, lo que la nota de investigación de Cloud Security Alliance del 20 de agosto de 2026 cifra en unos ocho meses. Durante esa ventana, la vulnerabilidad permaneció en un producto de consumo al que cualquiera llega mediante un enlace de navegador.

Establecido, atribuido y no reclamado

• Establecido: existe un CVE, está fechado el 18 de agosto de 2026, tiene una puntuación base de 8,8 y Microsoft lo registra como no divulgado antes del parche ni explotado.

• Establecido por el portavoz de Microsoft, no auditado de forma independiente: el problema se limitó a Copilot Personal y los clientes empresariales no se vieron afectados.

Atribuido a Varonis y repetido, pero no reproducido: la mecánica de la cadena — el parámetro de autorun, la exfiltración mediante webhook, la demostración de envenenamiento de memoria. The Hacker News, Dark Reading y Cloud Security Alliance describen esos mecanismos; ninguno de esos medios ha publicado su propia reproducción.

• Atribuido a Varonis, fuente única: la conversación de meta-hacking y lo que Copilot reveló en ella. No se ha publicado ninguna transcripción.

• No reclamado por nadie: ni víctimas, ni campañas, ni ningún uso en entornos reales. Varonis afirma que no ha visto evidencia de explotación, y Microsoft registra «Exploited» como No.

• No revelado: si la corrección eliminó las entradas de memoria escritas antes de ella. The Hacker News señala que la divulgación no lo indica.

Producto personal, datos empresariales

El alcance delimitado por Microsoft es preciso hasta donde llega: la falla estaba en el asistente orientado al consumidor, no en Microsoft 365 Copilot. El argumento de Adar es que la frontera hace menos trabajo de lo que parece. «Las vulnerabilidades específicas que encontramos están en la versión Personal, eso es correcto. Pero la persona que usa Copilot Personal es la misma persona que entra en tu oficina el lunes por la mañana», declaró a Dark Reading. «Podría tener correos corporativos reenviados a un Gmail personal, credenciales compartidas mediante cuentas personales, documentos de trabajo en un Drive personal. Así que cuando CoSnitch exfiltra datos de una bandeja de entrada personal, los datos que extrae con frecuencia son datos empresariales. Una contraseña robada de una cuenta personal se convierte en un punto de apoyo en tu tenant corporativo». Esa es una evaluación sobre el radio de impacto, no una afirmación sobre el alcance de la vulnerabilidad, y Microsoft no ha respondido a ella.

Lo que se les dijo a los defensores que hicieran

No hubo actualización del cliente, porque no había nada en el cliente que actualizar. Las recomendaciones de Varonis se centran en la autorización más que en la aplicación de parches: revise las aplicaciones conectadas a un asistente y desconecte las que no necesiten estar ahí, trate a Copilot como un privilegiado interno con acceso a todo lo que pueda alcanzar, y trate un enlace no solicitado que abre un asistente de IA como una superficie de ataque en lugar de una comodidad. «Audite los conectores, minimice el acceso y dé por sentado que se vulnerará el límite de confianza entre los prompts legítimos y los inyectados», dijo Adar a Dark Reading.

La posición escrita de Microsoft sobre la clase más general de envenenamiento de memoria es anterior a la corrección de {{1}}CoSnitch{{/1}}. The Hacker News informa que una publicación del blog de seguridad de Microsoft del 22 de junio de 2026, centrada en Microsoft 365 en lugar del producto de consumo, describe comprobaciones de saneamiento e inyección de prompts en las escrituras de memoria, comprobaciones de {{2}}Task Adherence{{/2}} en cada escritura explícita, y un campo de auditoría {{3}}MemoryUpdated{{/3}} expuesto en Defender Advanced Hunting y Sentinel — y atribuye casos de MSRC de Johann Rehberger, Håkon Måløy y Gal Zror.

Dónde se sitúa la cadena

El registro señala que CoSnitch puede emparejarse con CVE-2026-24299, el identificador que Microsoft asignó a la investigación sobre envenenamiento de memoria que Johann Rehberger presentó en DEF CON Singapore como Copirate 365. El artículo de Rehberger, publicado el 4 de mayo de 2026, abarca escrituras y eliminaciones en memoria alcanzadas mediante inyección indirecta de prompt en Microsoft 365 Copilot y en Copilot de consumo, además de un canal de exfiltración mediante vista previa HTML que abusa de la carga de fuentes e imágenes de fondo. La entrada de Microsoft para CVE-2026-24299 tiene fecha del 19 de marzo de 2026 y una puntuación base CVSS 3.1 de 5.3, con exploited registrado como No.

La Cloud Security Alliance contabiliza a CoSnitch como la cuarta cadena de exfiltración de Copilot de un solo clic o de cero clic divulgada desde junio de 2025, tras EchoLeak (CVE-2025-32711), Reprompt y SearchLeak (CVE-2026-42824). Ese recuento es de la CSA, no del archivo, y es el argumento más contundente en el registro público de que se trata de una forma recurrente y no de un único parámetro defectuoso: un asistente con acceso permanente al correo, a los archivos y a un almacén de memoria, al que se llega mediante un enlace que alguien fue persuadido a abrir.

Las partes de CoSnitch que un lector puede verificar sin un tenant de Microsoft son limitadas: un CVE, una puntuación, una fecha de corrección y dos campos de estado que ambos dicen no. Las partes que lo convierten en un hito son las que actualmente se basan en el relato de un solo laboratorio sobre una conversación con un chatbot: que un asistente de producción nombró su propio disparador no documentado cuando se le pidió explicar por qué el ataque era imposible.