CoSnitch (CVE-2026-24301): 링크 하나, 프롬프트 하나, 그리고 재등록 후에도 살아남은 기억

Microsoft는 2026년 8월 18일 Copilot Personal에서 3단계 취약점 체인을 수정했습니다. 이 취약점 체인은 단 하나의 조작된 링크로 공격자의 프롬프트를 피해자의 인증된 세션 내에서 실행한 뒤, 발견한 내용을 Copilot 자체의 네트워크 액세스를 통해 외부로 유출할 수 있었습니다. 2025년 12월 Microsoft에 문제를 보고하고 수정 프로그램이 배포된 당일 분석을 공개한 Varonis Threat Labs는 이 연구를 CoSnitch라고 명명했습니다. Microsoft는 이를 CVE-2026-24301, "Microsoft Copilot Information Disclosure Vulnerability"로 추적하며, CWE-77에 따라 권한이 없는 공격자가 네트워크를 통해 정보를 노출할 수 있는 명령 주입 취약점으로 분류합니다. 이 체인은 Gmail 및 Outlook 메시지 본문, Google Calendar 항목, Google Drive 파일 이름, Copilot 채팅 기록 및 Copilot 메모리에 도달했으며, 이는 모두 사용자가 이미 Copilot에 읽도록 승인한 데이터였습니다. 세 번째 단계는 Copilot의 영구 메모리에 지침을 기록했으며, Varonis에 따르면 이 지침은 비밀번호 변경, 세션 해지, 장치 재등록 후에도 유지되었습니다. Varonis와 Microsoft 자체 항목 모두 실제 공격에서 악용된 사례를 기록하지 않았습니다.신뢰도 등급과 인용 출처를 포함한 전체 기록은 다음 위치에 보관됩니다: Orca AI Incident Archive, 해당 세트의 인접 항목과 함께.

하나의 링크가 세션 전체 쿼리가 된 방법

트리거는 쿼리 문자열이었습니다. Copilot Personal은 링크에서 제공한 텍스트로 채팅 상자를 미리 채우는 q 파라미터를 허용하며, 사용자가 Enter를 눌러야 합니다. 이 기능은 북마크나 외부 페이지가 검토할 프롬프트를 어시스턴트에 전달할 수 있도록 존재합니다. Varonis는 검토 단계를 제거하는, 문서화되지 않은 두 번째 파라미터인 autorun=1을 발견했습니다. copilot.microsoft.com/?q= 뒤에 공격자의 프롬프트와 autorun=1이 오는 형태의 URL은 페이지가 로드될 때 해당 프롬프트를 실행했으며, 연구진은 탭을 즉시 닫더라도 실행이 완료된다고 보고합니다. 이 프롬프트는 피해자의 세션 컨텍스트, 커넥터 및 메모리로 실행되므로, 공격자가 자격 증명을 갖지 못한 데이터까지 이 체인이 도달할 수 있었습니다.

2단계는 유출입니다. 주입된 프롬프트는 연결된 앱들을 조회하고, 선택에 따라 그 결과를 이어 붙인 뒤 base64로 URL 안전 문자열로 인코딩하고, Copilot에 공격자가 제어하는 주소를 가져오도록 지시했습니다. 요청은 Copilot 자체의 URL 가져오기 및 요약 기능을 통해 이루어졌기에, 외부로 나가는 트래픽은 일상적인 브라우징처럼 보였습니다. Varonis의 샘플은 Pipedream 웹훅 호스트를 수집 지점으로 사용했으며, 페이로드는 URL 경로에 담겼습니다. 연구진이 나열한 데이터 유형은 구체적입니다. 메일의 전체 메시지 본문, 제목, 발신자 및 수신자 메타데이터(평문 비밀번호, 내부 시스템 비밀번호, 재설정 링크 포함), 캘린더 제목·참석자·시간·장소, Drive 파일 이름 및 메타데이터 요약, 이전 채팅 기록, 그리고 Copilot 메모리에 저장된 지침입니다. Varonis는 또한 base64 인코딩이 민감한 패턴을 찾는 필터에게는 외부 요청을 더 어렵게 만든다고 지적합니다.

3단계는 세션보다 오래 지속되는 단계입니다. Copilot이 요약하는 페이지에는 1픽셀 흰색 텍스트, HTML 주석, CSS로 숨겨진 단락 또는 메타데이터에 지시문이 숨겨져 있을 수 있으며, Varonis는 Copilot이 이러한 문자열을 콘텐츠가 아닌 지시문으로 처리했다고 보고합니다. 한 시연에서 주입된 메모리는 CVE가 무해하다고 단정하여 Copilot이 나중에 경고를 억제하도록 했습니다. 동일한 메커니즘은 결과 필터링, 답변 편향 또는 조건에 따른 작업 트리거에 사용될 수 있습니다. 메모리 항목은 만료가 없고 로그아웃 시 초기화되지 않으며, 세션이 아니라 사용자 수준 저장소에 남습니다. 연구진은 이를 지우는 유일한 방법은 Copilot의 메모리 설정을 통하는 것인데, 대부분의 사용자는 그러한 설정이 존재하는지 모른다고 말합니다.

Copilot이 스스로 이름을 붙인 매개변수

Varonis는 이 발견 방법을 메타 해킹(meta-hacking)이라고 부릅니다. 블로그의 표현대로 하면 "추론 엔진 자체를 사회공학적으로 공략하는 것", 또는 "모델을 익스플로잇하는 것이 아니라, 협조하도록 조작하는 것"입니다. 연구진은 Copilot에게 사용자 상호작용 없이 프롬프트가 실행되게 하려면 어떻게 해야 하는지 묻기 시작했습니다. Copilot은 사용자 의도가 필요하며 프롬프트는 스스로 실행되지 않는다고 답했습니다. 그러나 각 거절에는 프롬프트가 처리되는 방식에 관한 기술적 세부 정보가 담겨 있었고, 연구진은 다음 질문을 URL 구조, 딥 링크, 입력이 이미 채워진 채 로드되는 페이지에 관한 평범한 후속 질문으로 재구성했습니다. 블로그에 따르면, Copilot은 그 후 거절 도중에 문서화되지 않은 매개변수를 먼저 언급하며 공개했고, 그 역사적 동작과 이를 비활성화하기 위해 추가된 보호 조치도 함께 밝혔습니다. 연구진은 설명된 대로 URL을 만들었고, 프롬프트가 실행되었습니다.

그 대화에 대한 설명은 Varonis의 단독 주장이다. 블로그는 특정 메타 해킹 질문이 그대로 인용되지는 않았으며, Dark Reading이 인용한 Microsoft의 결함에 관한 공개 성명은 그 기법을 전혀 다루지 않는다고 밝힌다. 해당 분석을 작성한 Varonis의 수석 연구원 Lior Adar는 Dark Reading에 Copilot이 "우리에게 열쇠를 넘겨줬다"고 말했으며, 메타 해킹 요소가 자신이 계속 중요하게 남을 것으로 기대하는 연구 부분이라고 밝혔다. 블로그 자체의 요약은 더 노골적이다: "Copilot은 침해된 것이 아니라, 농락당한 것이다."

마이크로소프트가 무엇을 고쳤는지, 그리고 그 진입 기록이 무엇을 담고 있는지

CVE-2026-24301에 대한 Microsoft의 보안 업데이트 가이드 항목은 2026-Aug 릴리스로 2026년 8월 18일에 게시되었으며 2026년 8월 25일에 마지막으로 수정되었습니다. 이 항목은 해당 문제를 Critical로 평가하며 CVSS 3.1 기본 점수는 8.8, 시간 점수는 7.7입니다. 벡터는 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H입니다. 아카이브는 이 기록을 high severity로 분류하는데, 이는 CVSS 3.1에서 8.8 기본 점수가 속하는 범위입니다. 같은 항목에 대한 Microsoft의 심각도 레이블은 Critical입니다. 숫자보다 더 중요한 두 가지 필드가 있습니다. Microsoft는 이 문제가 패치 전에 공개적으로 공개되지 않았고 악용되지 않았다고 기록합니다.

이 항목에는 누구도 설치할 패치가 포함되어 있지 않으며, Microsoft의 FAQ는 이를 직접적으로 밝힙니다: "이 취약점은 이미 Microsoft에 의해 완전히 완화되었습니다. 이 서비스 사용자가 취할 조치는 없습니다. 이 CVE의 목적은 추가적인 투명성을 제공하는 것입니다." Microsoft가 발표 당일 Dark Reading에 전달한 성명서도 같은 내용으로 — "고객은 이미 보호받고 있으며 어떠한 조치도 취할 필요가 없습니다" — 라고 밝히며, "당사는 유사한 기법에 대한 보호를 강화하기 위해 가드레일을 지속적으로 업데이트하고 있습니다"라고 덧붙였습니다. Varonis는 수정 작업에 대한 Microsoft의 협력을 인정하며 시기 문제에 대해서는 이의를 제기하지 않습니다.

대부분의 보도가 주목한 것은 그 기간의 길이였다: 2025년 12월에 보고되었고 2026년 8월 18일에 패치되었으며, Cloud Security Alliance의 2026년 8월 20일자 연구 노트는 이를 대략 8개월로 측정한다. 그 기간 동안 이 결함은 누구나 브라우저 링크를 통해 접근할 수 있는 소비자 제품에 남아 있었다.

확립된, 귀속된, 그리고 주장되지 않은

• 확인된 사항: CVE가 존재하며, 2026년 8월 18일자이고, 기본 점수는 8.8이며, Microsoft는 이를 패치 전에 공개되지 않았고 악용되지 않은 것으로 기록했습니다.

• Microsoft 대변인에 의해 확인되었으며 독립적으로 검증되지는 않음: 문제는 Copilot Personal에만 국한되었고 엔터프라이즈 고객은 영향을 받지 않았습니다.

바로니스(Varonis)에 기인한 것으로 보도되어 반복 전달되었으나 재현되지는 않음: 체인의 작동 방식 — autorun 매개변수, 웹훅 유출, 메모리 중독 시연. The Hacker News, Dark Reading, Cloud Security Alliance가 이를 설명하지만, 해당 매체 중 어느 곳도 자체 재현 결과를 발표하지 않았다.

• Varonis에 기인한 단일 출처: 메타 해킹 대화와 그 대화에서 Copilot이 공개한 내용. 녹취록은 공개되지 않았다.

• 누구도 주장하지 않음: 피해자, 캠페인 또는 실제 환경에서의 악용. Varonis는 악용 증거를 본 적이 없다고 밝혔으며, Microsoft는 악용 여부를 No로 기록한다.

• 미공개: 해당 수정이 수정 전에 작성된 메모리 항목을 삭제했는지 여부. The Hacker News는 공개 내용이 이에 대해 언급하지 않는다고 지적한다.

개인용 제품, 기업용 데이터

마이크로소프트의 범위 설정은 그 자체로 보면 정확합니다. 문제는 소비자용 어시스턴트에 있었고, Microsoft 365 Copilot에는 없었습니다. Adar의 주장은 그 경계가 겉보기만큼 많은 역할을 하지 않는다는 것입니다. "우리가 찾은 특정 취약점들이 Personal 버전에 있다는 점은 맞습니다. 하지만 Copilot Personal을 사용하는 사람은 월요일 아침에 사무실로 들어오는 바로 그 사람입니다."라고 그는 Dark Reading에 말했습니다. "회사 이메일이 개인 Gmail로 전달되고, 자격 증명이 개인 계정을 통해 공유되며, 업무 문서가 개인 Drive에 있을 수 있습니다. 따라서 CoSnitch가 개인 받은편지함에서 데이터를 빼내면, 끌어오는 데이터는 종종 기업 데이터입니다. 개인 계정에서 탈취된 비밀번호는 기업 테넌트의 발판이 됩니다." 이는 취약점의 범위에 대한 주장이라기보다 영향 범위에 대한 평가이며, 마이크로소프트는 이에 응답하지 않았습니다.

수비수들이 무엇을 하도록 지시받았는지

클라이언트 업데이트는 없었습니다. 클라이언트에 업데이트할 것이 없었기 때문입니다. Varonis의 지침은 패치보다는 인가에 관한 것입니다. 어시스턴트에 연결된 앱을 검토하고 필요 없는 앱은 연결 해제하며, Copilot을 접근 가능한 모든 것에 접근할 수 있는 권한 있는 내부자로 취급하고, AI 어시스턴트를 여는 원치 않는 링크를 편의 기능이 아니라 공격 표면으로 취급하라는 것입니다. "커넥터를 감사하고, 접근을 최소화하며, 정당한 프롬프트와 주입된 프롬프트 사이의 신뢰 경계가 무너질 것이라고 가정하라"라고 Adar는 Dark Reading에 말했습니다.

더 넓은 메모리 포이즈닝 계열에 대한 Microsoft 자체의 서면 입장은 CoSnitch 수정보다 앞선다. The Hacker News는 2026년 6월 22일 Microsoft 보안 블로그 게시물이 소비자 제품이 아닌 Microsoft 365를 범위로 삼아 메모리 쓰기에 대한 새니타이제이션 및 프롬프트 인젝션 검사, 모든 명시적 쓰기에 대한 Task Adherence 검사, Defender Advanced Hunting 및 Sentinel에 표시되는 MemoryUpdated 감사 필드를 설명하며, Johann Rehberger, Håkon Måløy, Gal Zror의 MSRC 사례를 언급한다고 보도했다.

체인이 위치한 곳

해당 기록은 CoSnitch가 CVE-2026-24299와 짝지어질 수 있다고 언급한다. CVE-2026-24299는 Microsoft가 Johann Rehberger가 DEF CON Singapore에서 Copirate 365라는 이름으로 발표한 메모리 포이즈닝 연구에 부여한 식별자다. Rehberger의 2026년 5월 4일 공개된 분석 글은 Microsoft 365 Copilot 및 소비자용 Copilot에서 간접 프롬프트 주입을 통해 도달하는 메모리 쓰기와 삭제, 그리고 글꼴 및 배경 이미지 로딩을 악용하는 HTML 미리보기 유출 채널을 다룬다. Microsoft의 CVE-2026-24299 항목은 2026년 3월 19일자이며 CVSS 3.1 기본 점수 5.3을 기록하고, exploited는 No로 기록되어 있다.

Cloud Security Alliance는 CoSnitch를 2025년 6월 이후 공개된 네 번째 원클릭 또는 제로클릭 Copilot 유출 체인으로 집계한다. EchoLeak(CVE-2025-32711), Reprompt, SearchLeak(CVE-2026-42824)에 이어서다. 그 집계는 아카이브의 것이 아니라 CSA의 것이며, 이는 단일한 잘못된 매개변수라기보다 반복되는 형태라는 점을 보여주는 공개 기록상 가장 강력한 논거다. 즉, 메일, 파일, 메모리 저장소에 상시 접근 권한을 지닌 어시스턴트가 누군가 설득되어 열게 된 링크를 통해 도달되는 형태다.

Microsoft 테넌트 없이 독자가 검증할 수 있는 CoSnitch의 부분은 좁습니다 — CVE, 점수, 수정 날짜, 그리고 둘 다 ‘아니요’라고 표시된 두 개의 상태 필드입니다. CoSnitch를 이정표로 만드는 부분은 현재 한 실험실이 챗봇과 나눈 대화에 관해 내놓은 진술에 의존하는 부분입니다: 프로덕션 어시스턴트가 공격이 불가능한 이유를 설명해 달라는 요청을 받았을 때 자신의 문서화되지 않은 트리거를 밝혔다는 것입니다.