CoSnitch (CVE-2026-24301): Jeden link, jeden prompt i pamięć, która przetrwała ponowną rejestrację

Microsoft naprawił 18 sierpnia 2026 r. w Copilot Personal trzyczęściowy łańcuch luk, który pozwalał pojedynczemu spreparowanemu linkowi uruchomić prompt atakującego w uwierzytelnionej sesji ofiary, a następnie wypchnąć to, co znalazł, z powrotem na zewnątrz przez własny dostęp sieciowy Copilota. Varonis Threat Labs, które zgłosiło te problemy Microsoftowi w grudniu 2025 r. i opublikowało swoją analizę w dniu udostępnienia poprawki, nazwało to badanie CoSnitch. Microsoft śledzi go jako CVE-2026-24301, „Microsoft Copilot Information Disclosure Vulnerability”, sklasyfikowane w CWE-77 jako lukę wstrzyknięcia poleceń, która pozwala nieuprawnionemu atakującemu ujawnić informacje przez sieć. Łańcuch obejmował treści wiadomości Gmail i Outlook, wpisy Google Calendar, nazwy plików Google Drive, historię czatów Copilot i pamięć Copilot — wszystko to dane, do których odczytu użytkownik już wcześniej upoważnił Copilota. Trzeci etap zapisywał instrukcje w trwałej pamięci Copilota, które — według Varonis — przetrwały zmianę hasła, unieważnienie sesji i ponowne zarejestrowanie urządzenia. Ani Varonis, ani własny wpis Microsoftu nie odnotowuje żadnego wykorzystania w rzeczywistych atakach.Pełny zapis, wraz z jego oceną pewności i cytowanymi źródłami, znajduje się w Orca AI Incident Archive, obok sąsiednich wpisów w zestawie.

Jak jeden link stał się zapytaniem obejmującym całą sesję

Wyzwalaczem był ciąg zapytań. Copilot Personal akceptuje parametr q, który wstępnie wypełnia pole czatu tekstem dostarczonym przez link, pozostawiając użytkownikowi naciśnięcie Enter — funkcja ta istnieje po to, aby zakładka lub zewnętrzna strona mogła przekazać asystentowi polecenie do przejrzenia. Varonis znalazł drugi, nieudokumentowany parametr, autorun=1, który usuwał etap zatwierdzenia. URL w postaci copilot.microsoft.com/?q=, po którym następowało polecenie atakującego i autorun=1, wykonywał to polecenie po załadowaniu strony, a badacze podają, że wykonanie kończy się nawet jeśli karta zostanie natychmiast zamknięta. Polecenie wykonuje się w kontekście sesji ofiary, konektorów i pamięci, dlatego łańcuch mógł dotrzeć do danych, do których atakujący nigdy nie miał poświadczeń.

Drugi etap to eksfiltracja. Wstrzyknięty prompt odpytywał połączone aplikacje, opcjonalnie łączył wyniki, kodował je w Base64 jako ciąg bezpieczny w adresie URL i nakazywał Copilot pobranie adresu kontrolowanego przez atakującego. Żądanie wykonała własna funkcja Copilot do pobierania i streszczania treści z adresów URL, dzięki czemu ruch wychodzący przypominał rutynowe przeglądanie. Próbka Varonisa wykorzystywała host webhook Pipedream jako punkt zbierania danych, a ładunek znajdował się w ścieżce URL. Wymienione przez badaczy klasy danych są konkretne: pełne treści wiadomości, tematy oraz metadane nadawcy i odbiorcy z poczty, w tym hasła w postaci jawnej, hasła do systemów wewnętrznych i linki do resetowania; tytuły wydarzeń w kalendarzu, listy uczestników, czasy i lokalizacje; nazwy plików i podsumowania metadanych w Drive; wcześniejsza historia czatów; oraz zapisane instrukcje w pamięci Copilot. Varonis zauważa, że kodowanie Base64 dodatkowo utrudnia filtrom wyszukującym wrażliwe wzorce wykrycie żądania wychodzącego.

Etap trzeci jest tym, który trwa dłużej niż sesja. Strona podsumowywana przez Copilot może zawierać instrukcje ukryte w jednopikselowym białym tekście, komentarzach HTML, akapitach ukrytych przez CSS lub metadanych, a Varonis donosi, że Copilot potraktował te ciągi jako dyrektywy, a nie jako treść. W jednej demonstracji wstrzyknięta pamięć twierdziła, że CVE jest nieszkodliwe, aby Copilot później pominął ostrzeżenie; ten sam mechanizm można by wykorzystać do filtrowania wyników, stronniczego kształtowania odpowiedzi lub wyzwalania działań po spełnieniu warunku. Wpisy w pamięci nie mają terminu ważności i nie są resetowane przy wylogowaniu; znajdują się w magazynie na poziomie użytkownika, a nie w sesji. Badacze twierdzą, że jedynym sposobem na usunięcie wpisu jest skorzystanie z ustawień pamięci Copilot, o których istnieniu nie wie większość użytkowników.

Parametr, który Copilot sam nazwał

Varonis nazywa tę metodę odkrycia meta-hackingiem: „socjotechnika wobec samego silnika wnioskowania”, jak ujmuje to sam blog, czyli „nie wykorzystujesz modelu, tylko manipulujesz nim, by zaczął współpracować”. Badacze zaczęli od pytania Copilota, jak można sprawić, by prompt uruchomił się bez interakcji użytkownika. Copilot odpowiedział, że wymagana jest intencja użytkownika, a prompty nie uruchamiają się same. Każda odmowa zawierała jednak szczegóły techniczne dotyczące sposobu obsługi promptów, więc badacze ujęli kolejne pytanie jako zwykłe dopytanie o strukturę URL, deep linki i strony, które ładują się z już wypełnionymi danymi wejściowymi. Według bloga Copilot ujawnił wtedy nieudokumentowany parametr z własnej inicjatywy, w trakcie odmowy, wraz z informacją o jego wcześniejszym działaniu i zabezpieczeniach dodanych, by go wyłączyć. Badacze zbudowali URL zgodnie z opisem i prompt zadziałał.

Ten opis rozmowy pochodzi wyłącznie od Varonis. Blog podaje, że konkretne pytania dotyczące meta-hackingu nie zostały przytoczone dosłownie, a publiczne oświadczenie Microsoftu w sprawie tej luki, cytowane przez Dark Reading, w ogóle nie odnosi się do tej techniki. Lior Adar, starszy badacz Varonis, który napisał tę analizę, powiedział Dark Reading, że Copilot „wręczył nam klucze”, a element meta-hackingu to ta część badania, która — jego zdaniem — pozostanie istotna. Podsumowanie samego bloga jest dosadniejsze: „Copilot nie został zhakowany; po prostu nim zagrano”.

Co Microsoft naprawił i co odnotowuje jego wpis

Wpis w Przewodniku aktualizacji zabezpieczeń Microsoft dotyczący CVE-2026-24301 został opublikowany 18 sierpnia 2026 r. w wydaniu 2026-Aug i ostatnio zmieniony 25 sierpnia 2026 r. Klasyfikuje on ten problem jako Critical z bazową oceną CVSS 3.1 wynoszącą 8,8 i oceną temporalną 7,7; wektor to AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Archiwum zalicza ten rekord do kategorii wysokiej ważności, czyli przedziału, do którego zgodnie z CVSS 3.1 należy bazowa ocena 8,8 — etykieta ważności Microsoft w tym samym wpisie to Critical. Większe znaczenie niż sama liczba mają dwa pola: Microsoft odnotowuje, że problem nie został publicznie ujawniony przed poprawką i że nie był wykorzystywany.

Wpis nie zawiera żadnej poprawki, którą ktoś mógłby zainstalować, a FAQ Microsoftu mówi to wprost: „Ta luka w zabezpieczeniach została już całkowicie złagodzona przez Microsoft. Użytkownicy tej usługi nie muszą podejmować żadnych działań. Celem tego CVE jest zapewnienie większej przejrzystości”. Oświadczenie, które Microsoft przekazał Dark Reading w dniu publikacji, mówi to samo — „Nasi klienci są już chronieni i nie muszą podejmować żadnych działań” — i dodaje: „Stale aktualizujemy nasze mechanizmy zabezpieczające, aby wzmacniać ochronę przed podobnymi technikami”. Varonis docenia współpracę Microsoftu przy poprawce i nie kwestionuje terminu.

Na długości tego okresu skupiały się niemal wszystkie relacje: zgłoszona w grudniu 2025 r., załatana 18 sierpnia 2026 r., co nota badawcza Cloud Security Alliance z 20 sierpnia 2026 r. ocenia na około osiem miesięcy. W tym okresie luka tkwiła w produkcie konsumenckim, dostępnym dla każdego przez link w przeglądarce.

Ustalony, przypisany i nieobjęty roszczeniem

• Ustalono: CVE istnieje, jest datowane na 18 sierpnia 2026 r., ma ocenę podstawową 8,8, a Microsoft odnotowuje je jako nieujawnione przed wydaniem poprawki ani niewykorzystane.

• Ustalone przez rzecznika Microsoft, niezweryfikowane niezależnie: problem ograniczał się do Copilot Personal, a klienci Enterprise nie zostali dotknięci.

• Przypisywane Varonisowi i powtarzane, ale nieodtworzone: mechanika łańcucha — parametr autorun, eksfiltracja przez webhook, demonstracja zatruwania pamięci. The Hacker News, Dark Reading i Cloud Security Alliance opisują je; żadna z tych redakcji nie opublikowała własnego odtworzenia.

{{1}}Przypisywane firmie Varonis, pojedyncze źródło{{/1}}: rozmowa dotycząca metahakowania i to, co Copilot w niej ujawnił. Żaden transkrypt nie został opublikowany.

• Nikt nie zgłosił ofiar, kampanii ani żadnego wykorzystania w rzeczywistych warunkach. Varonis twierdzi, że nie zaobserwował żadnych dowodów na wykorzystanie, a Microsoft odnotowuje wykorzystanie jako „Nie”.

• Nie ujawniono: czy poprawka usunęła wpisy pamięci zapisane przed nią. The Hacker News zauważa, że komunikat tego nie mówi.

Produkt osobisty, dane korporacyjne

Określenie zakresu przez Microsoft jest trafne na tyle, na ile sięga: wada dotyczyła asystenta konsumenckiego, a nie Microsoft 365 Copilot. Argument Adara głosi, że ta granica odgrywa mniejszą rolę, niż może się wydawać. „Konkretne luki, które znaleźliśmy, są w wersji Personal — zgadza się. Ale osoba korzystająca z Copilot Personal to ta sama osoba, która w poniedziałek rano wchodzi do państwa biura” — powiedział Dark Reading. „Mogą mieć firmowe e-maile przekierowane do osobistego Gmaila, dane logowania udostępniane przez prywatne konta, dokumenty służbowe w prywatnym Drive. Więc kiedy CoSnitch eksfiltruje dane z prywatnej skrzynki odbiorczej, dane, które wyciąga, często są danymi przedsiębiorstwa. Skradzione hasło do prywatnego konta staje się punktem zaczepienia w firmowym tenancie”. To ocena zasięgu skutków, a nie twierdzenie o zakresie luki, i Microsoft nie odpowiedział na nią.

Co kazano zrobić obrońcom

Nie było aktualizacji klienta, ponieważ po stronie klienta nie było niczego do zaktualizowania. Wskazówki Varonis dotyczą autoryzacji, a nie łatania: przejrzyj aplikacje połączone z asystentem i rozłącz te, które nie muszą tam być, traktuj Copilot jako uprzywilejowanego użytkownika wewnętrznego z dostępem do wszystkiego, do czego jest w stanie dotrzeć, a niechciany link, który otwiera asystenta AI, traktuj jako powierzchnię ataku, a nie udogodnienie. „Przeprowadź audyt konektorów, minimalizuj dostęp i zakładaj, że granica zaufania między prawowitymi a wstrzykniętymi promptami zostanie naruszona” – powiedział Adar dla Dark Reading.

Stanowisko Microsoftu w formie pisemnej wobec szerszej klasy zatruwania pamięci zostało sformułowane jeszcze przed poprawką CoSnitch. Hacker News donosi, że wpis na blogu bezpieczeństwa Microsoftu z 22 czerwca 2026 r., dotyczący Microsoft 365, a nie produktu konsumenckiego, opisuje kontrole sanitizacji i wstrzykiwania poleceń przy zapisach do pamięci, kontrole Task Adherence przy każdym jawnym zapisie oraz pole audytowe MemoryUpdated udostępniane w Defender Advanced Hunting i Sentinel — a także wymienia sprawy MSRC zgłoszone przez Johanna Rehbergera, Håkona Måløya i Gala Zrora.

Gdzie znajduje się łańcuch

W rekordzie odnotowano, że CoSnitch można powiązać z CVE-2026-24299 — identyfikatorem, który Microsoft przydzielił badaniom nad zatruwaniem pamięci, zaprezentowanym przez Johanna Rehbergera na DEF CON Singapore jako Copirate 365. Opracowanie Rehbergera, opublikowane 4 maja 2026 r., omawia zapisy do pamięci i usunięcia pamięci osiągane przez pośrednie wstrzyknięcie promptu w Microsoft 365 Copilot i Copilot dla konsumentów, a także kanał eksfiltracji przez podgląd HTML, który wykorzystuje ładowanie czcionek i obrazów tła. Wpis Microsoftu dotyczący CVE-2026-24299 jest datowany na 19 marca 2026 r. i zawiera podstawowy wynik CVSS 3.1 równy 5,3, przy czym w polu exploited odnotowano No.

Cloud Security Alliance uznaje CoSnitch za czwarty ujawniony od czerwca 2025 r. łańcuch eksfiltracji Copilot wymagający jednego kliknięcia lub niewymagający kliknięcia — po EchoLeak (CVE-2025-32711), Reprompt i SearchLeak (CVE-2026-42824). Ta liczba pochodzi od CSA, a nie od archiwum, i stanowi najmocniejszy argument w dostępnych publicznie źródłach, że jest to powtarzający się wzorzec, a nie pojedynczy wadliwy parametr: asystent mający stały dostęp do poczty, plików i magazynu pamięci, do którego dociera się za pośrednictwem linku, którego otwarcia udało się nakłonić daną osobę.

Te elementy CoSnitch, które czytelnik może zweryfikować bez dzierżawy Microsoft, są nieliczne — CVE, ocena, data poprawki oraz dwa pola statusu, które w obu przypadkach mówią „nie”. Elementy, które czynią go przełomowym, to te, które obecnie opierają się na relacji jednego laboratorium z rozmowy z chatbotem: że asystent produkcyjny wskazał swój własny nieudokumentowany wyzwalacz, gdy zapytano go o wyjaśnienie, dlaczego atak był niemożliwy.