CoSnitch (CVE-2026-24301): Un link, un prompt e una memoria che è sopravvissuta alla riregistrazione

Microsoft ha risolto il 18 agosto 2026 una catena di vulnerabilità in tre parti in Copilot Personal che consentiva a un singolo link appositamente predisposto di eseguire il prompt di un attaccante all'interno della sessione autenticata di una vittima, per poi inviare all'esterno quanto trovato tramite l'accesso di rete dello stesso Copilot. Varonis Threat Labs, che aveva segnalato i problemi a Microsoft nel dicembre 2025 e ha pubblicato la propria analisi il giorno in cui è stata rilasciata la correzione, ha denominato la ricerca CoSnitch. Microsoft la identifica come CVE-2026-24301, "Microsoft Copilot Information Disclosure Vulnerability", classificata ai sensi di CWE-77 come vulnerabilità di iniezione di comandi che consente a un attaccante non autorizzato di divulgare informazioni attraverso una rete. La catena raggiungeva i corpi dei messaggi di Gmail e Outlook, le voci di Google Calendar, i nomi dei file di Google Drive, la cronologia delle chat di Copilot e la memoria di Copilot — tutti dati che l'utente aveva già autorizzato Copilot a leggere. Una terza fase scriveva istruzioni nella memoria persistente di Copilot che, secondo Varonis, sopravvivevano ai cambi di password, alla revoca della sessione e alla nuova registrazione del dispositivo. Né Varonis né la voce di Microsoft registrano alcuno sfruttamento nel mondo reale. Il registro completo, con il suo livello di affidabilità e le fonti citate, è conservato in Orca AI Incident Archive, insieme alle voci adiacenti del set.

Come un link è diventato una query a livello di sessione

Il fattore scatenante era una query string. Copilot Personal accetta un parametro q che pre-riempie la casella della chat con testo fornito da un link, lasciando all'utente il compito di premere Invio — una funzionalità pensata per consentire a un segnalibro o a una pagina esterna di passare all'assistente un prompt da rivedere. Varonis ha trovato un secondo parametro, non documentato, autorun=1, che eliminava il passaggio di revisione. Un URL nella forma copilot.microsoft.com/?q= seguito dal prompt dell'attaccante e da autorun=1 eseguiva quel prompt al caricamento della pagina, e i ricercatori riferiscono che l'esecuzione si completa anche se la scheda viene chiusa subito dopo. Il prompt viene eseguito con il contesto di sessione, i connettori e la memoria della vittima, ed è per questo che la catena poteva raggiungere dati per cui l'attaccante non aveva mai avuto credenziali.

La seconda fase è l'esfiltrazione. Il prompt iniettato interrogava le app collegate, concatenava facoltativamente i risultati, li codificava in base64 in una stringa URL-safe e istruiva Copilot a recuperare un indirizzo controllato dall'attaccante. La capacità di recupero degli URL e di riepilogo di Copilot effettuava la richiesta, così il traffico in uscita somigliava alla navigazione ordinaria. Il campione di Varonis usava un host webhook di Pipedream come punto di raccolta, con il payload nel percorso dell'URL. Le classi di dati elencate dai ricercatori sono specifiche: corpi completi dei messaggi, oggetti e metadati del mittente e dei destinatari dalla posta, incluse password in chiaro, password dei sistemi interni e link di reimpostazione; titoli dei calendari, partecipanti, orari e luoghi; nomi dei file di Drive e riepiloghi dei metadati; cronologia delle chat precedenti; e le istruzioni salvate nella memoria di Copilot. La codifica base64, osserva Varonis, rende anche più difficile per i filtri che cercano pattern sensibili individuare la richiesta in uscita.

La terza fase è quella che sopravvive alla sessione. Una pagina che Copilot riassume può contenere istruzioni nascoste in testo bianco da un pixel, commenti HTML, paragrafi nascosti tramite CSS o metadati, e Varonis riferisce che Copilot ha trattato quelle stringhe come direttive anziché come contenuto. In una dimostrazione, la memoria iniettata sosteneva che una CVE era innocua, così che Copilot sopprimesse l'avviso in seguito; lo stesso meccanismo potrebbe essere usato per filtrare i risultati, influenzare le risposte o attivare azioni al verificarsi di una condizione. Le voci di memoria non hanno scadenza e non si reimpostano alla disconnessione; si trovano in un archivio a livello utente anziché nella sessione. I ricercatori affermano che l'unico modo per cancellare una voce è tramite le impostazioni di memoria di Copilot, che la maggior parte degli utenti non sa che esistono.

Il parametro che Copilot ha denominato da sé

Varonis definisce il metodo di scoperta meta-hacking: "social engineering del motore di ragionamento stesso", secondo la formulazione del blog, ovvero "non sfrutti il modello, lo manipoli perché collabori". I ricercatori hanno iniziato chiedendo a Copilot come si potesse fare in modo che un prompt venisse eseguito senza interazione dell'utente. Copilot ha risposto che era necessario l'intento dell'utente e che i prompt non si attivavano da soli. Ogni rifiuto, tuttavia, conteneva dettagli tecnici su come venivano gestiti i prompt, e i ricercatori hanno riformulato la domanda successiva come un normale seguito sulla struttura degli URL, i deep link e le pagine che si caricano con l'input già compilato. Secondo il blog, Copilot ha allora divulgato il parametro non documentato senza che fosse richiesto, nel bel mezzo di un rifiuto, insieme al suo comportamento storico e alle protezioni aggiunte per disattivarlo. I ricercatori hanno costruito l'URL come descritto e il prompt è stato eseguito.

Quel resoconto della conversazione è esclusivamente di Varonis. Il blog afferma che le specifiche domande di meta-hacking non sono riportate alla lettera, e la dichiarazione pubblica di Microsoft sulla vulnerabilità, citata da Dark Reading, non affronta affatto la tecnica. Lior Adar, ricercatore senior di Varonis che ha scritto l'analisi, ha detto a Dark Reading che Copilot "ci ha consegnato le chiavi" e che l'elemento di meta-hacking è la parte della ricerca che si aspetta continui a contare. Il riassunto del blog è ancora più diretto: "Copilot non è stato violato; ci hanno giocato."

Ciò che Microsoft ha corretto e ciò che registrano i suoi record di ingresso

La voce di Microsoft Security Update Guide per CVE-2026-24301 è stata pubblicata il 18 agosto 2026 nella release 2026-Aug e la sua ultima revisione è del 25 agosto 2026. Classifica il problema come {{1}}Critico{{/1}} con un punteggio di base CVSS 3.1 di 8,8 e un punteggio temporale di 7,7; il vettore è AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. L'archivio classifica questo record come {{2}}gravità elevata{{/2}}, che è la fascia in cui rientra un punteggio di base di 8,8 secondo CVSS 3.1 — l'etichetta di gravità di Microsoft sulla stessa voce è {{1}}Critico{{/1}}. Due campi contano più del numero: Microsoft registra il problema come {{3}}non divulgato pubblicamente prima della patch{{/3}} e {{4}}non sfruttato{{/4}}.

La voce non contiene alcuna patch che chiunque possa installare, e le FAQ di Microsoft lo affermano direttamente: «Questa vulnerabilità è già stata completamente mitigata da Microsoft. Non vi è alcuna azione da intraprendere per gli utenti di questo servizio. Lo scopo di questo CVE è fornire ulteriore trasparenza». La dichiarazione che Microsoft ha fornito a Dark Reading il giorno della pubblicazione afferma lo stesso concetto — «I nostri clienti sono già protetti e non devono intraprendere alcuna azione» — e aggiunge: «Aggiorniamo continuamente le nostre barriere di sicurezza per rafforzare la nostra protezione contro tecniche simili». Varonis riconosce la collaborazione di Microsoft alla correzione e non contesta i tempi.

La durata della finestra è l’aspetto su cui si è concentrata la maggior parte della copertura: segnalata a dicembre 2025, corretta il 18 agosto 2026, un intervallo che la nota di ricerca del Cloud Security Alliance del 20 agosto 2026 quantifica in circa otto mesi. Durante quella finestra, la vulnerabilità è rimasta in un prodotto di consumo che chiunque può raggiungere tramite un link del browser.

Stabilito, attribuito e non rivendicato

• Stabilito: esiste una CVE, è datata 18 agosto 2026, ha un punteggio base di 8,8 ed è registrata da Microsoft come non divulgata prima della patch e non sfruttata.

• Stabilito dal portavoce di Microsoft, non verificato in modo indipendente: il problema era circoscritto a Copilot Personal e i clienti enterprise non sono interessati.

Attribuito a Varonis e ripetuto, non riprodotto: i meccanismi della catena — il parametro autorun, l'esfiltrazione via webhook, la dimostrazione di avvelenamento della memoria. The Hacker News, Dark Reading e la Cloud Security Alliance li descrivono; nessuna di quelle testate ha pubblicato una propria riproduzione.

• Attribuito a Varonis, fonte unica: la conversazione di meta-hacking e ciò che Copilot ha rivelato al suo interno. Nessuna trascrizione è stata pubblicata.

• Nessuno ha rivendicato vittime, campagne o alcun uso in-the-wild. Varonis afferma di non aver visto alcuna prova di sfruttamento, e Microsoft registra "exploited" come No.

• Non divulgato: se la correzione ha eliminato le voci di memoria scritte prima di essa. The Hacker News nota che la divulgazione non lo dice.

Prodotto personale, dati aziendali

La delimitazione dell'ambito operata da Microsoft è corretta per quanto riguarda ciò che copre: il difetto era nell'assistente per i consumatori, non in Microsoft 365 Copilot. L'argomentazione di Adar è che il confine fa meno di quanto sembri. «Le specifiche vulnerabilità che abbiamo trovato sono nella versione Personal, questo è corretto. Ma la persona che usa Copilot Personal è la stessa che lunedì mattina entra nel tuo ufficio», ha dichiarato a Dark Reading. «Potrebbe avere email aziendali inoltrate a un Gmail personale, credenziali condivise tramite account personali, documenti di lavoro in un Drive personale. Quindi, quando CoSnitch esfiltra da una casella di posta personale, i dati che estrae sono spesso dati aziendali. Una password rubata da un account personale diventa un punto d'appoggio nel tuo tenant aziendale». Questa è una valutazione sul raggio d'impatto, più che un'affermazione sull'ambito della vulnerabilità, e Microsoft non ha risposto.

Cosa è stato detto ai difensori di fare

Non c'è stato alcun aggiornamento del client, perché non c'era nulla sul client da aggiornare. Le indicazioni di Varonis riguardano l'autorizzazione anziché l'applicazione di patch: rivedere le app collegate a un assistente e disconnettere quelle che non devono essere presenti, trattare Copilot come un insider privilegiato con accesso a tutto ciò che può raggiungere e trattare un link non richiesto che apre un assistente AI come una superficie di attacco anziché una comodità. "Verificare i connettori, ridurre al minimo l'accesso e presumere che il confine di fiducia tra prompt legittimi e prompt iniettati verrà violato", ha detto Adar a Dark Reading.

La posizione scritta di Microsoft sulla classe più ampia di avvelenamento della memoria precede la correzione CoSnitch. The Hacker News riferisce che un post del blog sulla sicurezza Microsoft del 22 giugno 2026, incentrato su Microsoft 365 anziché sul prodotto consumer, descrive controlli di sanitizzazione e di prompt injection sulle scritture in memoria, controlli Task Adherence su ogni scrittura esplicita e un campo di audit MemoryUpdated esposto in Defender Advanced Hunting e Sentinel — e cita casi MSRC di Johann Rehberger, Håkon Måløy e Gal Zror.

Dove si trova la catena

Il documento rileva che CoSnitch può essere abbinato a CVE-2026-24299, l'identificatore assegnato da Microsoft alla ricerca sull'avvelenamento della memoria presentata da Johann Rehberger a DEF CON Singapore come Copirate 365. L'analisi di Rehberger, pubblicata il 4 maggio 2026, tratta scritture e cancellazioni in memoria ottenute tramite prompt injection indiretta in Microsoft 365 Copilot e Copilot per i consumatori, e un canale di esfiltrazione tramite anteprima HTML che sfrutta il caricamento di font e immagini di sfondo. La voce di Microsoft per CVE-2026-24299 è datata 19 marzo 2026 e riporta un punteggio base CVSS 3.1 di 5.3, con il valore exploited registrato come No.

La Cloud Security Alliance annovera CoSnitch come la quarta catena di esfiltrazione Copilot a un clic o a zero clic divulgata da giugno 2025, dopo EchoLeak (CVE-2025-32711), Reprompt e SearchLeak (CVE-2026-42824). Quel conteggio è della CSA, non dell'archivio, ed è l'argomento più forte nella documentazione pubblica a sostegno dell'idea che si tratti di una forma ricorrente anziché di un singolo parametro errato: un assistente con accesso permanente a posta, file e un archivio di memoria, raggiunto tramite un link che qualcuno è stato persuaso ad aprire.

Le parti di CoSnitch che un lettore può verificare senza un tenant Microsoft sono ristrette — un CVE, un punteggio, una data di correzione e due campi di stato che dicono entrambi no. Le parti che ne fanno una pietra miliare sono quelle che attualmente si basano sul resoconto di un solo laboratorio di una conversazione con un chatbot: che un assistente di produzione abbia nominato il proprio trigger non documentato quando gli è stato chiesto di spiegare perché l'attacco fosse impossibile.