CoSnitch (CVE-2026-24301) : un lien, une invite et une mémoire qui a survécu à une réinscription

Microsoft a corrigé le 18 août 2026 une chaîne de trois failles dans Copilot Personal qui permettait à un seul lien forgé d’exécuter le prompt d’un attaquant au sein de la session authentifiée d’une victime, puis de renvoyer ce qu’il avait trouvé via l’accès réseau propre à Copilot. Varonis Threat Labs, qui avait signalé ces problèmes à Microsoft en décembre 2025 et publié son analyse le jour du déploiement du correctif, a baptisé ses recherches CoSnitch. Microsoft la répertorie sous CVE-2026-24301, « Microsoft Copilot Information Disclosure Vulnerability », classée sous CWE-77 comme une faille d’injection de commandes permettant à un attaquant non autorisé de divulguer des informations sur un réseau. La chaîne atteignait les corps des messages Gmail et Outlook, les entrées Google Calendar, les noms de fichiers Google Drive, l’historique des conversations Copilot et la mémoire Copilot — toutes ces données que l’utilisateur avait déjà autorisé Copilot à lire. Une troisième étape a écrit des instructions dans la mémoire persistante de Copilot qui, selon Varonis, ont survécu aux changements de mot de passe, à la révocation de session et au réenrôlement de l’appareil. Ni Varonis ni l’entrée propre à Microsoft ne mentionnent d’exploitation dans la nature. Le dossier complet, avec sa note de confiance et ses sources citées, est conservé dans Orca AI Incident Archive, aux côtés des entrées voisines de l’ensemble.

Comment un lien est devenu une requête à l’échelle de la session

Le déclencheur était une chaîne de requête. Copilot Personal accepte un paramètre q qui préremplit la zone de chat avec un texte fourni par un lien, laissant l'utilisateur appuyer sur Entrée — une fonctionnalité qui existe pour qu'un favori ou une page externe puisse transmettre à l'assistant une invite à examiner. Varonis a découvert un second paramètre non documenté, autorun=1, qui supprimait l'étape de validation. Une URL de la forme copilot.microsoft.com/?q= suivie de l'invite de l'attaquant et de autorun=1 exécutait cette invite au chargement de la page, et les chercheurs rapportent que l'exécution se termine même si l'onglet est fermé immédiatement après. L'invite s'exécute avec le contexte de session, les connecteurs et la mémoire de la victime, ce qui explique pourquoi la chaîne pouvait atteindre des données pour lesquelles l'attaquant n'avait jamais eu d'identifiants.

La deuxième étape est l'exfiltration. Le prompt injecté interrogeait les applications connectées, concaténait éventuellement les résultats, les encodait en base64 dans une chaîne compatible URL et chargeait Copilot de récupérer une adresse contrôlée par l'attaquant. C'est la propre capacité de Copilot à récupérer des URL et à résumer qui effectuait la requête, si bien que le trafic sortant ressemblait à une navigation ordinaire. L'échantillon de Varonis utilisait un hôte webhook Pipedream comme point de collecte, la charge utile se trouvant dans le chemin de l'URL. Les catégories de données énumérées par les chercheurs sont précises : le corps complet des messages, les lignes d'objet et les métadonnées d'expéditeur et de destinataire issues du courrier, y compris les mots de passe en clair, les mots de passe de systèmes internes et les liens de réinitialisation ; les titres, participants, horaires et lieux des événements d'agenda ; les noms de fichiers et résumés de métadonnées de Drive ; l'historique des conversations antérieures ; et les instructions enregistrées dans la mémoire de Copilot. Varonis note que l'encodage base64 rend également la requête sortante plus difficile à détecter pour les filtres qui recherchent des motifs sensibles.

La troisième étape est celle qui survit à la session. Une page que Copilot résume peut contenir des instructions cachées dans du texte blanc d’un pixel, des commentaires HTML, des paragraphes masqués par CSS ou des métadonnées, et Varonis rapporte que Copilot a traité ces chaînes comme des directives plutôt que comme du contenu. Dans une démonstration, la mémoire injectée affirmait qu’une CVE était inoffensive, afin que Copilot supprime l’avertissement plus tard ; le même mécanisme pourrait servir à filtrer les résultats, biaiser les réponses ou déclencher des actions sous condition. Les entrées de mémoire n’ont pas d’expiration et ne sont pas réinitialisées à la déconnexion ; elles résident dans un stockage au niveau de l’utilisateur plutôt que dans la session. Les chercheurs affirment que le seul moyen d’effacer une entrée est de passer par les paramètres de mémoire de Copilot, dont la plupart des utilisateurs ignorent l’existence.

Le paramètre Copilot s’est nommé lui-même

Varonis qualifie la méthode de découverte de « méta-hacking » : « faire de l’ingénierie sociale sur le moteur de raisonnement lui-même », selon la formulation du blog, ou « on n’exploite pas le modèle, on le manipule pour qu’il coopère ». Les chercheurs ont commencé par demander à Copilot comment un prompt pouvait être amené à s’exécuter sans interaction de l’utilisateur. Copilot a répondu que l’intention de l’utilisateur était nécessaire et que les prompts ne se déclenchaient pas d’eux-mêmes. Chaque refus, toutefois, contenait des détails techniques sur la manière dont les prompts étaient traités, et les chercheurs ont reformulé la question suivante comme une simple relance sur la structure des URL, les liens profonds et les pages qui se chargent avec une entrée déjà renseignée. Selon le blog, Copilot a alors divulgué le paramètre non documenté sans qu’on le lui demande, au milieu d’un refus, ainsi que son comportement historique et les protections qui avaient été ajoutées pour le désactiver. Les chercheurs ont construit l’URL comme décrit et le prompt s’est exécuté.

Ce compte rendu de la conversation n'appartient qu'à Varonis. Le blog indique que les questions spécifiques de méta-hacking ne sont pas reproduites mot pour mot, et la déclaration publique de Microsoft sur la faille, citée par Dark Reading, n'aborde pas du tout cette technique. Lior Adar, chercheur senior chez Varonis et auteur de l'analyse, a déclaré à Dark Reading que Copilot « nous a remis les clés » et que l'élément de méta-hacking est la partie de la recherche qui, selon lui, continuera d'avoir de l'importance. Le résumé du blog est plus direct : « Copilot n'a pas été compromis ; on s'est joué de lui. »

Ce que Microsoft a corrigé, et ce que son entrée consigne

L’entrée du Security Update Guide de Microsoft pour CVE-2026-24301 a été publiée le 18 août 2026 dans la version 2026-Aug et révisée pour la dernière fois le 25 août 2026. Elle classe le problème comme Critical avec un score de base CVSS 3.1 de 8,8 et un score temporel de 7,7 ; le vecteur est AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. L’archive classe cet enregistrement en gravité élevée, qui correspond à la plage dans laquelle tombe un score de base de 8,8 selon CVSS 3.1 — l’étiquette de gravité de Microsoft sur la même entrée est Critical. Deux champs comptent davantage que le chiffre : Microsoft indique que le problème n’a pas été divulgué publiquement avant le correctif et n’a pas été exploité.

L'entrée ne comporte aucun correctif que quiconque pourrait installer, et la FAQ de Microsoft le dit sans détour : « Cette vulnérabilité a déjà été entièrement atténuée par Microsoft. Les utilisateurs de ce service n'ont aucune mesure à prendre. L'objectif de ce CVE est d'apporter davantage de transparence. » La déclaration que Microsoft a fournie à Dark Reading le jour de la publication dit la même chose — « Nos clients sont déjà protégés et n'ont besoin de prendre aucune mesure » — et ajoute : « Nous mettons continuellement à jour nos garde-fous afin de renforcer nos protections contre des techniques similaires. » Varonis salue la collaboration de Microsoft sur le correctif et ne conteste pas le calendrier.

La durée de cette fenêtre est ce sur quoi la plupart des articles se sont focalisés : signalée en décembre 2025, corrigée le 18 août 2026, ce que la note de recherche de la Cloud Security Alliance du 20 août 2026 évalue à environ huit mois. Pendant cette fenêtre, la faille est restée présente dans un produit grand public auquel quiconque accède via un lien de navigateur.

Établi, attribué et non revendiqué

• Établi : une CVE existe, est datée du 18 août 2026, porte un score de base de 8,8 et est consignée par Microsoft comme ni divulguée avant le correctif ni exploitée.

• Établi par le porte-parole de Microsoft, sans audit indépendant : le problème était limité à Copilot Personal et les clients entreprise ne sont pas affectés.

• Attribués à Varonis et relayés, non reproduits : les mécanismes de la chaîne — le paramètre d'exécution automatique, l'exfiltration par webhook, la démonstration d'empoisonnement de la mémoire. The Hacker News, Dark Reading et la Cloud Security Alliance les décrivent ; aucun de ces médias n'a publié sa propre reproduction.

• Attribué à Varonis, source unique : la conversation de méta-hacking et ce que Copilot y a divulgué. Aucune transcription n’a été publiée.

• Non revendiqué par quiconque : victimes, campagnes ou toute utilisation dans la nature. Varonis déclare n’avoir constaté aucune preuve d’exploitation, et Microsoft consigne « exploité » comme « No ».

• Non divulgué : si le correctif a purgé les entrées de mémoire écrites avant son application. The Hacker News note que la divulgation ne le précise pas.

Produit personnel, données d’entreprise

La délimitation du périmètre par Microsoft est exacte dans la mesure où elle va : la faille se trouvait dans l’assistant grand public, pas dans Microsoft 365 Copilot. L’argument d’Adar, c’est que cette frontière assure moins de protection qu’elle n’en a l’air. « Les vulnérabilités spécifiques que nous avons trouvées sont bien dans la version Personal, c’est exact. Mais la personne qui utilise Copilot Personal est la même personne qui entre dans votre bureau le lundi matin », a-t-il déclaré à Dark Reading. « Elle pourrait avoir des courriels d’entreprise transférés vers son Gmail personnel, des identifiants partagés via des comptes personnels, des documents professionnels dans un Drive personnel. Ainsi, lorsque CoSnitch exfiltre depuis une boîte de réception personnelle, les données qu’il récupère sont souvent des données d’entreprise. Un mot de passe volé sur un compte personnel devient un point d’appui dans votre locataire d’entreprise. » Il s’agit d’une évaluation du rayon d’impact plutôt que d’une affirmation sur la portée de la vulnérabilité, et Microsoft n’y a pas répondu.

Ce qu’on a dit aux défenseurs de faire

Il n'y a pas eu de mise à jour du client, car il n'y avait rien à mettre à jour sur le client. Les recommandations de Varonis portent sur l'autorisation plutôt que sur le correctif : examinez les applications connectées à un assistant et déconnectez celles qui n'ont pas besoin d'y être, traitez Copilot comme un initié privilégié ayant accès à tout ce qu'il peut atteindre, et traitez un lien non sollicité qui ouvre un assistant IA comme une surface d'attaque plutôt qu'une commodité. « Auditez les connecteurs, minimisez les accès et partez du principe que la frontière de confiance entre les invites légitimes et les invites injectées sera rompue », a déclaré Adar à Dark Reading.

La position écrite de Microsoft sur la classe plus large d’empoisonnement de la mémoire précède le correctif CoSnitch. The Hacker News rapporte qu’un billet de blogue sur la sécurité de Microsoft daté du 22 juin 2026, consacré à Microsoft 365 plutôt qu’au produit grand public, décrit des contrôles d’assainissement et d’injection de prompt sur les écritures mémoire, des contrôles Task Adherence sur chaque écriture explicite, ainsi qu’un champ d’audit MemoryUpdated exposé dans Defender Advanced Hunting et Sentinel — et crédite des dossiers MSRC de Johann Rehberger, Håkon Måløy et Gal Zror.

Où se situe la chaîne

Le dossier indique que CoSnitch peut être associé à CVE-2026-24299, l’identifiant attribué par Microsoft à la recherche sur l’empoisonnement de la mémoire présentée par Johann Rehberger à DEF CON Singapore sous le nom de Copirate 365. L’analyse de Rehberger, publiée le 4 mai 2026, couvre les écritures et suppressions en mémoire atteintes via une injection indirecte d’invite dans Microsoft 365 Copilot et Copilot grand public, ainsi qu’un canal d’exfiltration par aperçu HTML qui exploite le chargement de polices et d’images d’arrière-plan. L’entrée de Microsoft pour CVE-2026-24299 est datée du 19 mars 2026 et porte un score de base CVSS 3.1 de 5,3, avec la mention « No » pour le champ « exploited ».

La Cloud Security Alliance compte CoSnitch comme la quatrième chaîne d’exfiltration Copilot en un clic ou zéro clic divulguée depuis juin 2025, après EchoLeak (CVE-2025-32711), Reprompt et SearchLeak (CVE-2026-42824). Ce décompte est celui de la CSA, non celui de l’archive, et c’est l’argument le plus fort du dossier public pour établir qu’il s’agit d’une forme récurrente plutôt que d’un simple paramètre défectueux : un assistant disposant d’un accès permanent à la messagerie, aux fichiers et à une mémoire, atteint via un lien que quelqu’un a été persuadé d’ouvrir.

Les éléments de CoSnitch qu’un lecteur peut vérifier sans tenant Microsoft sont limités : une CVE, un score, une date de correction et deux champs de statut qui disent tous deux non. Les éléments qui en font un jalon sont ceux qui reposent actuellement sur le compte rendu d’un seul laboratoire concernant une conversation avec un chatbot : qu’un assistant de production ait nommé son propre déclencheur non documenté lorsqu’on lui a demandé d’expliquer pourquoi l’attaque était impossible.