CoSnitch (CVE-2026-24301): одна ссылка, один промпт и память, пережившая повторную регистрацию

18 августа 2026 года Microsoft исправила в Copilot Personal цепочку из трёх уязвимостей, которая позволяла одной специально созданной ссылке выполнить промпт атакующего в аутентифицированной сессии жертвы, а затем отправить найденное обратно через собственный сетевой доступ Copilot. Varonis Threat Labs, которые сообщили об этих проблемах Microsoft в декабре 2025 года и опубликовали свой анализ в день выхода исправления, назвали исследование CoSnitch. Microsoft отслеживает её под идентификатором CVE-2026-24301, «Microsoft Copilot Information Disclosure Vulnerability», классифицированную по CWE-77 как уязвимость внедрения команд, позволяющую неавторизованному атакующему раскрывать информацию по сети. Цепочка охватывала тела сообщений Gmail и Outlook, записи Google Calendar, имена файлов Google Drive, историю чатов Copilot и память Copilot — и всё это данные, которые пользователь уже разрешил Copilot читать. Третий этап записывал инструкции в постоянную память Copilot, которые, по данным Varonis, сохранялись после смены пароля, отзыва сессии и повторной регистрации устройства. Ни Varonis, ни собственная запись Microsoft не фиксируют никаких случаев эксплуатации в реальных атаках. Полная запись с её степенью уверенности и указанными источниками хранится в Orca AI Incident Archive вместе с соседними записями в наборе.

Как одна ссылка превратилась в запрос в рамках всей сессии

Триггером была строка запроса. Copilot Personal принимает параметр q, который предварительно заполняет поле чата текстом, переданным по ссылке, оставляя пользователю нажать Enter — эта функция существует, чтобы закладка или внешняя страница могли передать ассистенту запрос на проверку. Varonis обнаружила второй, недокументированный параметр autorun=1, который убирал этап проверки. URL вида copilot.microsoft.com/?q=, за которым следует запрос злоумышленника и autorun=1, исполнял этот запрос при загрузке страницы, и исследователи сообщают, что выполнение завершается, даже если вкладку сразу после этого закрыть. Запрос исполняется в контексте сеанса жертвы, с её коннекторами и памятью, поэтому цепочка могла добраться до данных, на которые у злоумышленника никогда не было учётных данных.

Второй этап — эксфильтрация. Внедрённый промпт запрашивал данные у подключённых приложений, при необходимости объединял результаты, кодировал их в base64 в URL-безопасную строку и инструктировал Copilot обратиться по адресу, контролируемому атакующим. Запрос выполнялся собственными возможностями Copilot по загрузке URL и суммированию, поэтому исходящий трафик выглядел как обычный просмотр веб-страниц. В образце Varonis в качестве точки сбора использовался хост вебхука Pipedream, а полезная нагрузка находилась в пути URL. Перечисляемые исследователями классы данных конкретны: полные тела сообщений, темы писем, а также метаданные отправителей и получателей из почты, включая пароли в открытом виде, внутренние системные пароли и ссылки для сброса; названия событий календаря, участники, время и места; имена файлов Drive и сводки метаданных; история предыдущих чатов; и сохранённые инструкции в памяти Copilot. Кодирование base64, отмечает Varonis, также усложняет фильтрам, которые ищут конфиденциальные шаблоны, обнаружение исходящего запроса.

Третья стадия — та, что переживает сеанс. Страница, которую суммирует Copilot, может содержать инструкции, скрытые в белом тексте размером в один пиксель, в HTML-комментариях, скрытых с помощью CSS абзацах или метаданных, и Varonis сообщает, что Copilot воспринимал эти строки как директивы, а не как содержимое. В одной демонстрации внедрённая память утверждала, что CVE безвредна, чтобы Copilot позже подавил предупреждение; тот же механизм можно использовать для фильтрации результатов, смещения ответов или запуска действий при определённом условие. Записи памяти не имеют срока действия и не сбрасываются при выходе из системы; они находятся в хранилище на уровне пользователя, а не в сеансе. Исследователи говорят, что единственный способ очистить запись — через настройки памяти Copilot, о существовании которых большинство пользователей не знают.

Параметр, который Copilot назвал сам

Varonis называет этот метод обнаружения метахакингом: «социальная инженерия самого механизма рассуждений» — так это формулирует блог — или «вы не эксплуатируете модель, а манипулируете ею, чтобы она начала сотрудничать». Исследователи начали с того, что спросили у Copilot, как можно заставить промпт запускаться без взаимодействия с пользователем. Copilot отвечал, что требуется намерение пользователя и что промпты не срабатывают сами по себе. Однако каждый отказ содержал технические подробности о том, как обрабатываются промпты, и исследователи переформулировали следующий вопрос как обычное уточнение о структуре URL, глубоких ссылках и страницах, которые загружаются с уже заполненным вводом. Согласно блогу, Copilot затем по собственной инициативе раскрыл недокументированный параметр прямо посреди отказа, вместе с его прошлым поведением и защитными механизмами, добавленными для его отключения. Исследователи составили URL, как было описано, и промпт сработал.

Это описание разговора принадлежит только Varonis. В блоге говорится, что конкретные вопросы мета-хакинга не воспроизводятся дословно, а публичное заявление Microsoft об этой уязвимости, цитируемое Dark Reading, вообще не касается данной техники. Лиор Адар, старший исследователь Varonis, написавший этот анализ, сказал Dark Reading, что Copilot «передал нам ключи» и что элемент мета-хакинга — та часть исследования, которая, по его ожиданиям, будет оставаться значимой. Собственное резюме блога ещё резче: «Copilot не взломали — его обыграли».

Что исправила Microsoft и что показывают её записи о входе

Запись Microsoft в Руководстве по обновлениям безопасности для CVE-2026-24301 была опубликована 18 августа 2026 г. в выпуске за август 2026 г. и в последний раз пересматривалась 25 августа 2026 г. Уязвимости присвоен уровень «Критический» с базовой оценкой CVSS 3.1 8,8 и временной оценкой 7,7; вектор — AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Архив относит эту запись к категории высокой степени опасности — именно в этот диапазон попадает базовая оценка 8,8 согласно CVSS 3.1, тогда как метка серьезности Microsoft в той же записи — «Критический». Два поля важнее самой цифры: Microsoft отмечает, что уязвимость не раскрывалась публично до выпуска исправления и не эксплуатировалась.

В записи нет патча, который кто-либо мог бы установить, и FAQ Microsoft прямо это подтверждает: «Эта уязвимость уже полностью устранена Microsoft. Пользователям этого сервиса не нужно предпринимать никаких действий. Цель этого CVE — обеспечить дополнительную прозрачность». Заявление, которое Microsoft предоставила Dark Reading в день публикации, говорит то же самое — «Наши клиенты уже защищены и не должны предпринимать никаких действий», — и добавляет: «Мы постоянно обновляем наши защитные механизмы, чтобы усиливать защиту от аналогичных методов». Varonis высоко оценивает сотрудничество с Microsoft по исправлению и не оспаривает сроки.

Больше всего публикации цеплялись за длительность этого окна: об уязвимости сообщили в декабре 2025 года, исправили её 18 августа 2026 года, и, по оценке исследовательской записки Cloud Security Alliance от 20 августа 2026 года, это составляет примерно восемь месяцев. В течение этого окна уязвимость находилась в потребительском продукте, доступ к которому любой может получить по ссылке в браузере.

Установлено, атрибутировано и не заявлено

• Установлено: существует CVE, датированный 18 августа 2026 года, имеющий базовую оценку 8,8; по данным Microsoft, он не был раскрыт до выпуска исправления и не эксплуатировался.

• По заявлению представителя Microsoft, без независимой проверки: проблема затрагивала только Copilot Personal, корпоративные клиенты не пострадали.

• Приписывается Varonis и повторяется, но не воспроизведена: механика цепочки — параметр автозапуска, эксфильтрация через вебхук, демонстрация отравления памяти. The Hacker News, Dark Reading и Cloud Security Alliance описывают их; ни одно из этих изданий не опубликовало собственного воспроизведения.

• Приписывается Varonis, единственный источник: разговор о метавзломе и то, что в нём раскрыл Copilot. Транскрипт не опубликован.

• Никто не заявлял о: жертвах, кампаниях или каком-либо использовании в реальных условиях. Varonis сообщает, что не обнаружила доказательств эксплуатации, а Microsoft в поле exploited указывает значение No.

• Не раскрыто: удаляло ли исправление записи в памяти, созданные до него. The Hacker News отмечает, что в опубликованных сведениях об этом не сказано.

Персональный продукт, корпоративные данные

Microsoft точно очерчивает границы — настолько, насколько это очерчивание вообще простирается: уязвимость была в потребительском помощнике, а не в Microsoft 365 Copilot. Адар утверждает, что эта граница обеспечивает меньше изоляции, чем кажется. «Конкретные уязвимости, которые мы обнаружили, действительно находятся в версии Personal. Но человек, использующий Copilot Personal, — это тот же человек, который в понедельник утром приходит в ваш офис», — сказал он Dark Reading. «Он может пересылать корпоративные письма на личный Gmail, передавать учетные данные через личные аккаунты, хранить рабочие документы в личном Drive. Поэтому, когда CoSnitch эксфильтрует данные из личного почтового ящика, извлекаемые данные часто оказываются корпоративными. Украденный пароль от личного аккаунта становится точкой опоры в вашем корпоративном тенанте». Это оценка радиуса поражения, а не утверждение об охвате уязвимости, и Microsoft на нее не ответила.

Что защитникам было велено делать

Обновления для клиента не было, потому что в клиенте нечего было обновлять. Рекомендации Varonis касаются авторизации, а не установки исправлений: проверяйте приложения, подключённые к ассистенту, и отключайте те, которым там быть не нужно; относитесь к Copilot как к привилегированному инсайдеру, имеющему доступ ко всему, до чего он может дотянуться; и воспринимайте нежелательную ссылку, открывающую ИИ-ассистента, как поверхность атаки, а не как удобство. «Проверяйте коннекторы, минимизируйте доступ и исходите из того, что граница доверия между легитимными и внедрёнными промптами будет нарушена», — сказал Адар изданию Dark Reading.

Письменная позиция самой Microsoft относительно более широкого класса отравления памяти предшествует исправлению CoSnitch. The Hacker News сообщает, что пост в блоге Microsoft по безопасности от 22 июня 2026 года, посвящённый Microsoft 365, а не потребительскому продукту, описывает проверки санитизации и prompt-инъекций при записи в память, проверки Task Adherence при каждой явной записи и поле аудита MemoryUpdated, отображаемое в Defender Advanced Hunting и Sentinel, — а также отмечает кейсы MSRC, о которых сообщили Johann Rehberger, Håkon Måløy и Gal Zror.

Где находится цепочка

В записи отмечается, что CoSnitch можно связать с CVE-2026-24299 — идентификатором, который Microsoft присвоил исследованию отравления памяти, представленному Johann Rehberger на DEF CON Singapore как Copirate 365. Отчёт Rehberger, опубликованный 4 мая 2026 года, описывает записи и удаления в памяти, достигаемые через косвенную инъекцию промптов в Microsoft 365 Copilot и потребительском Copilot, а также канал эксфильтрации через HTML-предпросмотр, который злоупотребляет загрузкой шрифтов и фоновых изображений. Запись Microsoft для CVE-2026-24299 датирована 19 марта 2026 года и имеет базовую оценку CVSS 3.1, равную 5.3, при этом в поле exploited указано No.

Cloud Security Alliance считает CoSnitch четвёртой цепочкой эксфильтрации через Copilot, срабатывающей в одно нажатие или без единого нажатия, раскрытой с июня 2025 года, после EchoLeak (CVE-2025-32711), Reprompt и SearchLeak (CVE-2026-42824). Этот подсчёт принадлежит CSA, а не архиву, и это сильнейший аргумент в открытых материалах о том, что перед нами повторяющаяся схема, а не единичный неудачный параметр: ассистент с постоянным доступом к почте, файлам и хранилищу памяти, к которому ведёт ссылка, которую кого-то убедили открыть.

Проверяемая без тенанта Microsoft часть CoSnitch узка — CVE, оценка, дата исправления и два поля статуса, оба говорящие «нет». Части, которые делают его вехой, — это части, которые сейчас опираются на изложение одной лабораторией разговора с чат-ботом: что производственный ассистент назвал собственный недокументированный триггер, когда его попросили объяснить, почему атака невозможна.