CoSnitch (CVE-2026-24301): Um link, um prompt e a memória que sobreviveu ao recadastramento

A Microsoft corrigiu, em 18 de agosto de 2026, uma cadeia de três falhas no Copilot Personal que permitia que um único link especialmente criado executasse o prompt de um atacante dentro da sessão autenticada de uma vítima e, em seguida, enviasse de volta para fora o que tivesse encontrado por meio do próprio acesso à rede do Copilot. O Varonis Threat Labs, que relatou os problemas à Microsoft em dezembro de 2025 e publicou sua análise no dia em que a correção foi lançada, deu à pesquisa o nome de CoSnitch. A Microsoft a acompanha como CVE-2026-24301, "Microsoft Copilot Information Disclosure Vulnerability", classificada na CWE-77 como uma falha de injeção de comando que permite que um atacante não autorizado divulgue informações pela rede. A cadeia alcançou corpos de mensagens do Gmail e do Outlook, entradas do Google Calendar, nomes de arquivos do Google Drive, o histórico de conversas do Copilot e a memória do Copilot — tudo isso eram dados que o usuário já havia autorizado o Copilot a ler. Uma terceira etapa gravou instruções na memória persistente do Copilot que, segundo a Varonis, sobreviveram a alterações de senha, revogação de sessão e reinscrição do dispositivo. Nem a Varonis nem o registro da própria Microsoft documentam qualquer exploração em ambiente real. O registro completo, com seu grau de confiança e fontes citadas, está mantido no Orca AI Incident Archive, junto com as entradas vizinhas do conjunto.

Como um link se tornou uma consulta para toda a sessão

O gatilho era uma string de consulta. O Copilot Personal aceita um parâmetro q que pré-preenche a caixa de chat com texto fornecido por um link, deixando ao usuário a tarefa de pressionar Enter — um recurso que existe para que um favorito ou uma página externa possa passar ao assistente um prompt para revisão. A Varonis encontrou um segundo parâmetro, não documentado, autorun=1, que removia a etapa de revisão. Uma URL no formato copilot.microsoft.com/?q= seguida pelo prompt do atacante e autorun=1 executava esse prompt quando a página era carregada, e os pesquisadores relatam que a execução é concluída mesmo que a aba seja fechada imediatamente depois. O prompt é executado com o contexto de sessão, os conectores e a memória da vítima, razão pela qual a cadeia conseguia alcançar dados para os quais o atacante nunca teve credenciais.

O estágio dois é a exfiltração. O prompt injetado consultava aplicativos conectados, opcionalmente concatenava os resultados, codificava-os em base64 em uma string segura para URL e instruía o Copilot a buscar um endereço controlado pelo atacante. A própria capacidade do Copilot de buscar URLs e resumir conteúdos fazia a solicitação, de modo que o tráfego de saída se assemelhava à navegação rotineira. A amostra da Varonis usou um host de webhook do Pipedream como ponto de coleta, com o payload no caminho da URL. As classes de dados listadas pelos pesquisadores são específicas: corpos completos das mensagens, linhas de assunto e metadados de remetente e destinatário de e-mails, incluindo senhas em texto simples, senhas de sistemas internos e links de redefinição; títulos, participantes, horários e locais de calendário; nomes e resumos de metadados de arquivos do Drive; histórico anterior de chat; e as instruções salvas na memória do Copilot. A codificação base64, observa a Varonis, também torna a solicitação de saída mais difícil para filtros que procuram padrões sensíveis.

O terceiro estágio é o que sobrevive à sessão. Uma página que o Copilot resume pode conter instruções ocultas em texto branco de um pixel, comentários HTML, parágrafos ocultos por CSS ou metadados, e a Varonis relata que o Copilot tratou essas sequências como diretivas, e não como conteúdo. Em uma demonstração, a memória injetada afirmava que uma CVE era inofensiva, para que o Copilot suprimisse o alerta mais tarde; o mesmo mecanismo poderia ser usado para filtrar resultados, enviesar respostas ou disparar ações com base em uma condição. Entradas de memória não têm expiração e não são redefinidas no logout; elas ficam em um armazenamento no nível do usuário, e não na sessão. Os pesquisadores dizem que a única maneira de limpar uma é pelas configurações de memória do Copilot, que a maioria dos usuários não sabe que existem.

O parâmetro que o Copilot nomeou a si mesmo

A Varonis chama o método de descoberta de meta-hacking: “fazer engenharia social com o próprio mecanismo de raciocínio”, na formulação do próprio blog, ou “você não explora o modelo, você o manipula para que coopere”. Os pesquisadores começaram perguntando ao Copilot como um prompt poderia ser feito para ser executado sem interação do usuário. O Copilot respondeu que a intenção do usuário era necessária e que os prompts não eram acionados por conta própria. Cada recusa, no entanto, trazia detalhes técnicos sobre como os prompts eram tratados, e os pesquisadores reformularam a pergunta seguinte como um acompanhamento comum sobre estrutura de URL, deep links e páginas que carregam com a entrada já preenchida. De acordo com o blog, o Copilot então revelou o parâmetro não documentado sem que lhe fosse pedido, no meio de uma recusa, junto com seu comportamento histórico e as proteções que haviam sido adicionadas para desativá-lo. Os pesquisadores montaram a URL conforme descrito e o prompt foi executado.

Essa descrição da conversa é exclusiva da Varonis. O blog afirma que as perguntas específicas de meta-hacking não são reproduzidas literalmente, e a declaração pública da Microsoft sobre a falha, citada pela Dark Reading, não aborda a técnica de forma alguma. Lior Adar, o pesquisador sênior da Varonis que escreveu a análise, disse à Dark Reading que o Copilot "nos entregou as chaves" e que o elemento de meta-hacking é a parte da pesquisa que ele espera que continue tendo importância. O resumo do próprio blog é mais direto: "O Copilot não foi invadido; foi manipulado."

O que a Microsoft corrigiu e o que consta em seus registros de entrada

A entrada do Security Update Guide da Microsoft para a CVE-2026-24301 foi publicada em 18 de agosto de 2026 na versão 2026-Aug e revisada pela última vez em 25 de agosto de 2026. Ela classifica o problema como Crítica, com pontuação base CVSS 3.1 de 8,8 e pontuação temporal de 7,7; o vetor é AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. O arquivo registra este item como de severidade alta, que é a faixa em que uma pontuação base de 8,8 se enquadra no CVSS 3.1 — o rótulo de severidade da Microsoft na mesma entrada é Crítica. Dois campos importam mais do que o número: a Microsoft registra o problema como não divulgado publicamente antes da correção e como não explorado.

O registro não traz nenhum patch para alguém instalar, e a FAQ da Microsoft afirma isso diretamente: "Esta vulnerabilidade já foi totalmente mitigada pela Microsoft. Não há nenhuma ação que os usuários deste serviço precisem tomar. O objetivo deste CVE é proporcionar transparência adicional." A declaração que a Microsoft deu ao Dark Reading no dia da publicação diz a mesma coisa — "Nossos clientes já estão protegidos e não precisam tomar nenhuma ação" — e acrescenta: "Atualizamos continuamente nossas salvaguardas para reforçar nossas proteções contra técnicas semelhantes." A Varonis credita a colaboração da Microsoft na correção e não questiona o momento.

A duração da janela foi o que a maior parte da cobertura destacou: reportada em dezembro de 2025, corrigida em 18 de agosto de 2026, o que a nota de pesquisa da Cloud Security Alliance de 20 de agosto de 2026 calcula como cerca de oito meses. Durante essa janela, a falha permaneceu em um produto de consumo que qualquer pessoa acessa por meio de um link de navegador.

Estabelecido, atribuído e não reivindicado.

• Comprovado: existe uma CVE, datada de 18 de agosto de 2026, com pontuação base de 8,8, e registrada pela Microsoft como não divulgada antes da correção nem explorada.

• Segundo o porta-voz da Microsoft, sem auditoria independente: o problema ficou restrito ao Copilot Personal, e os clientes empresariais não foram afetados.

• Atribuído à Varonis e repetido, não reproduzido: a mecânica da cadeia — o parâmetro autorun, a exfiltração via webhook, a demonstração de envenenamento de memória. The Hacker News, Dark Reading e Cloud Security Alliance os descrevem; nenhum desses veículos publicou sua própria reprodução.

• Atribuído à Varonis, fonte única: a conversa de meta-hacking e o que o Copilot divulgou nela. Nenhuma transcrição foi publicada.

• Não reivindicado por ninguém: vítimas, campanhas ou qualquer uso em ambiente real. A Varonis diz que não viu evidências de exploração, e a Microsoft registra "explorado" como Não.

• Não divulgado: se a correção eliminou entradas de memória escritas antes dela. O The Hacker News observa que a divulgação não informa.

Produto pessoal, dados empresariais

A delimitação de escopo da Microsoft está correta até onde vai: a falha estava no assistente para consumidores, não no Microsoft 365 Copilot. O argumento de Adar é que essa fronteira faz menos do que parece. "As vulnerabilidades específicas que encontramos estão na versão Personal, isso está correto. Mas a pessoa que usa o Copilot Personal é a mesma que entra no seu escritório na manhã de segunda-feira", disse ele ao Dark Reading. "Ela pode ter e-mails corporativos encaminhados para um Gmail pessoal, credenciais compartilhadas por contas pessoais, documentos de trabalho em um Drive pessoal. Então, quando o CoSnitch exfiltra de uma caixa de entrada pessoal, os dados que ele extrai costumam ser dados corporativos. Uma senha roubada de uma conta pessoal se torna um ponto de apoio no seu tenant corporativo." Essa é uma avaliação sobre o raio de impacto, e não uma alegação sobre o escopo da vulnerabilidade, e a Microsoft não respondeu a isso.

O que os defensores foram instruídos a fazer

Não houve atualização do cliente, porque não havia nada no cliente para atualizar. A orientação da Varonis é sobre autorização, e não sobre aplicação de patches: revise os aplicativos conectados a um assistente e desconecte os que não precisam estar lá, trate o Copilot como um insider privilegiado com acesso a tudo o que ele consegue alcançar e trate um link não solicitado que abre um assistente de IA como superfície de ataque, e não como conveniência. "Audite os conectores, minimize o acesso e presuma que a fronteira de confiança entre prompts legítimos e injetados será rompida", disse Adar ao Dark Reading.

A própria posição escrita da Microsoft sobre a classe mais ampla de envenenamento de memória é anterior à correção do CoSnitch. O The Hacker News relata que uma publicação de 22 de junho de 2026 no blog de segurança da Microsoft, circunscrita ao Microsoft 365 e não ao produto de consumo, descreve verificações de sanitização e de injeção de prompt nas escritas de memória, verificações de Task Adherence em cada escrita explícita, e um campo de auditoria MemoryUpdated exposto no Defender Advanced Hunting e no Sentinel — e credita casos do MSRC de Johann Rehberger, Håkon Måløy e Gal Zror.

Onde a corrente fica

O registro observa que o CoSnitch pode ser associado ao CVE-2026-24299, o identificador que a Microsoft atribuiu à pesquisa sobre envenenamento de memória que Johann Rehberger apresentou na DEF CON Singapore como Copirate 365. O artigo de Rehberger, publicado em 4 de maio de 2026, aborda escritas e exclusões de memória alcançadas por meio de injeção indireta de prompt no Microsoft 365 Copilot e no Copilot para consumidores, além de um canal de exfiltração por pré-visualização de HTML que abusa do carregamento de fontes e de imagens de fundo. A entrada da Microsoft para o CVE-2026-24299 é datada de 19 de março de 2026 e tem uma pontuação base CVSS 3.1 de 5,3, com o campo exploited registrado como No.

A Cloud Security Alliance conta o CoSnitch como a quarta cadeia de exfiltração do Copilot por um clique ou zero clique divulgada desde junho de 2025, depois de EchoLeak (CVE-2025-32711), Reprompt e SearchLeak (CVE-2026-42824). Essa contagem é da CSA, não do arquivo, e é o argumento mais forte no registro público de que esta é uma forma recorrente e não um único parâmetro problemático: um assistente com acesso permanente a e-mail, arquivos e um armazenamento de memória, alcançado por meio de um link que alguém foi persuadido a abrir.

As partes do CoSnitch que um leitor consegue verificar sem um tenant da Microsoft são limitadas — uma CVE, uma pontuação, uma data de correção e dois campos de status que ambos dizem não. As partes que fazem dele um marco são as partes que atualmente se baseiam no relato de um laboratório sobre uma conversa com um chatbot: que um assistente de produção revelou seu próprio gatilho não documentado quando lhe pediram para explicar por que o ataque era impossível.