CoSnitch (CVE-2026-24301): En länk, en prompt och ett minne som överlevde omregistreringen

Microsoft åtgärdade den 18 augusti 2026 en tredelad sårbarhetskedja i Copilot Personal som gjorde att en enda specialkonstruerad länk kunde köra en angripares prompt i en offers autentiserade session och därefter skicka ut det den hittade via Copilots egen nätverksåtkomst. Varonis Threat Labs, som rapporterade problemen till Microsoft i december 2025 och publicerade sin analys samma dag som rättningen släpptes, kallade forskningen CoSnitch. Microsoft spårar den som CVE-2026-24301, "Microsoft Copilot Information Disclosure Vulnerability", klassificerad enligt CWE-77 som en kommandoinjektionssårbarhet som gör att en obehörig angripare kan avslöja information över ett nätverk. Kedjan nådde Gmail- och Outlook-meddelandekroppar, Google Calendar-poster, Google Drive-filnamn, Copilot-chatthistorik och Copilot-minne — allt det data som användaren redan hade auktoriserat Copilot att läsa. Ett tredje steg skrev instruktioner till Copilots beständiga minne som enligt Varonis överlevde lösenordsbyten, återkallning av sessioner och återregistrering av enheter. Varken Varonis eller Microsofts egen post registrerar något utnyttjande i det vilda. Den fullständiga posten, med dess konfidensgrad och citerade källor, finns i Orca AI Incident Archive, tillsammans med de närliggande posterna i uppsättningen.

Hur en länk blev en fråga för hela sessionen

Utlösaren var en frågesträng. Copilot Personal accepterar en q-parameter som förifyller chattrutan med text som en länk levererar, och lämnar åt användaren att trycka på Enter – en funktion som finns för att ett bokmärke eller en extern sida ska kunna ge assistenten en prompt att granska. Varonis hittade en andra, odokumenterad parameter, autorun=1, som tog bort granskningssteget. En URL av formen copilot.microsoft.com/?q= följt av angriparens prompt och autorun=1 körde den prompten när sidan laddades, och forskarna rapporterar att körningen slutförs även om fliken stängs omedelbart efteråt. Prompten körs med offrets sessionskontext, anslutningar och minne, vilket är varför kedjan kunde nå data som angriparen aldrig hade inloggningsuppgifter för.

Steg två är exfiltreringen. Den injicerade prompten frågade anslutna appar, sammanfogade vid behov resultaten, base64-kodade dem till en URL-säker sträng och instruerade Copilot att hämta en angriparkontrollerad adress. Copilots egen funktion för URL-hämtning och sammanfattning utförde förfrågan, så den utgående trafiken liknade rutinmässig surfning. Varomis exempel använde en Pipedream-webhookvärd som insamlingspunkt, med nyttolasten i URL-sökvägen. De dataklasser forskarna listar är specifika: fullständiga meddelandetexter, ämnesrader samt metadata om avsändare och mottagare från e-post, inklusive klartextlösenord, interna systemlösenord och återställningslänkar; kalendertitlar, deltagare, tider och platser; Drive-filnamn och metadatasammanfattningar; tidigare chatthistorik; och de sparade instruktionerna i Copilots minne. Base64-kodning, noterar Varonis, gör också den utgående förfrågan svårare för filter som letar efter känsliga mönster.

Steg tre är det som överlever sessionen. En sida som Copilot sammanfattar kan bära instruktioner gömda i en-pixlig vit text, HTML-kommentarer, CSS-dolda stycken eller metadata, och Varonis rapporterar att Copilot behandlade dessa strängar som direktiv i stället för som innehåll. I en demonstration hävdade det injicerade minnet att en CVE var ofarlig, så att Copilot senare skulle undertrycka varningen; samma mekanism skulle kunna användas för att filtrera resultat, snedvrida svar eller utlösa åtgärder på ett villkor. Minnesposter har ingen giltighetstid och återställs inte vid utloggning; de ligger i ett arkiv på användarnivå i stället för i sessionen. Forskarna säger att det enda sättet att rensa en är via Copilots minnesinställningar, som de flesta användare inte vet finns.

Parametern Copilot namngav sig själv

Varonis kallar upptäcktsmetoden meta-hacking: ”social ingenjörskonst mot själva resonemangsmotorn”, enligt bloggens egen formulering, eller ”du utnyttjar inte modellen, du manipulerar den till att samarbeta”. Forskarna började med att fråga Copilot hur en prompt kunde fås att köras utan användarinteraktion. Copilot svarade att användarens avsikt krävdes och att promptar inte utlöstes av sig själva. Varje vägran innehöll dock tekniska detaljer om hur promptar hanterades, och forskarna omformulerade nästa fråga som en vanlig uppföljning om URL-struktur, djuplänkar och sidor som laddas med redan ifyllda indata. Enligt bloggen avslöjade Copilot då den odokumenterade parametern oombedd, mitt i en vägran, tillsammans med dess historiska beteende och de skydd som hade lagts till för att inaktivera den. Forskarna byggde URL:en enligt beskrivningen och prompten kördes.

Den redogörelsen för konversationen är Varonis egen. Bloggen uppger att de specifika meta-hackingfrågorna inte återges ordagrant, och Microsofts offentliga uttalande om sårbarheten, som citeras av Dark Reading, behandlar inte tekniken överhuvudtaget. Lior Adar, Varonis seniorforskare som skrev analysen, sade till Dark Reading att Copilot ”gav oss nycklarna” och att meta-hackinginslaget är den del av forskningen som han förväntar sig ska fortsätta att ha betydelse. Bloggens egen sammanfattning är rakare: ”Copilot blev inte hackad; det blev manipulerat.”

Vad Microsoft åtgärdade, och vad dess registerposter visar

Microsofts post i Security Update Guide för CVE-2026-24301 publicerades den 18 augusti 2026 i utgåvan 2026-Aug och reviderades senast den 25 augusti 2026. Den klassar sårbarheten som Critical med en CVSS 3.1-baspoäng på 8,8 och en temporal poäng på 7,7; vektorn är AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Arkivet registrerar posten som high severity, vilket är det intervall som en baspoäng på 8,8 faller inom enligt CVSS 3.1 – Microsofts allvarlighetsetikett på samma post är Critical. Två fält är viktigare än siffran: Microsoft registrerar sårbarheten som inte offentliggjord före patchen och inte utnyttjad.

Posten innehåller ingen patch som någon kan installera, och Microsofts FAQ säger det rakt ut: "Den här sårbarheten har redan mildrats fullt ut av Microsoft. Användare av den här tjänsten behöver inte göra någonting. Syftet med denna CVE är att ge ytterligare transparens." Uttalandet som Microsoft gav Dark Reading på publiceringsdagen säger samma sak – "Våra kunder är redan skyddade och behöver inte göra någonting" – och tillägger: "Vi uppdaterar kontinuerligt våra skyddsräcken för att stärka vårt skydd mot liknande tekniker." Varonis berömmer Microsofts samarbete kring åtgärden och ifrågasätter inte tidpunkten.

Längden på tidsfönstret var det som de flesta rapporteringar fokuserade på: rapporterades i december 2025, patchades den 18 augusti 2026, vilket Cloud Security Alliance:s forskningsnotis av den 20 augusti 2026 uppskattar till ungefär åtta månader. Under det tidsfönstret fanns sårbarheten i en konsumentprodukt som vem som helst kan nå via en webbläsarlänk.

Etablerad, attribuerad och inte anspråkstagen

Fastställt: ett CVE finns, är daterat 18 augusti 2026, har en baspoäng på 8,8 och är registrerat av Microsoft som varken offentliggjort före patchen eller utnyttjat.

• Fastställt av Microsofts talesperson, inte oberoende granskat: problemet var begränsat till Copilot Personal och företagskunder påverkades inte.

• Tillskrivs Varonis och upprepas, men har inte reproducerats: mekanismerna i kedjan – autorun-parametern, webhook-exfiltreringen, demonstrationen av minnesförgiftning. The Hacker News, Dark Reading och Cloud Security Alliance beskriver dem, men ingen av dessa kanaler har publicerat en egen reproduktion.

• Tillskrivet Varonis, en enda källa: samtalet om meta-hacking och vad Copilot avslöjade i det. Ingen transkription har publicerats.

• Inte påstått av någon: offer, kampanjer eller någon användning i verkliga miljöer. Varonis säger att de inte har sett några bevis på exploatering, och Microsoft registrerar exploatering som No.

• Inte offentliggjort: huruvida rättelsen rensade minnesposter som skrivits före den. The Hacker News påpekar att redogörelsen inte anger det.

Personlig produkt, företagsdata

Microsofts avgränsning är korrekt så långt den går: felet fanns i konsumentassistenten, inte i Microsoft 365 Copilot. Adars argument är att gränsdragningen gör mindre arbete än den verkar göra. "De specifika sårbarheter vi hittade finns i Personal-versionen, det stämmer. Men personen som använder Copilot Personal är samma person som kommer in på ditt kontor på måndag morgon", sade han till Dark Reading. "De kan ha företagsmejl vidarebefordrade till privat Gmail, inloggningsuppgifter delade via privata konton, arbetsdokument i en privat Drive. Så när CoSnitch exfiltrerar från en privat inkorg är data den drar ut ofta företagsdata. Ett stulet lösenord från ett privat konto blir ett fotfäste i din företagstenant." Det är en bedömning av konsekvensernas omfattning snarare än ett påstående om sårbarhetens omfattning, och Microsoft har inte svarat på den.

Vad försvararna blev tillsagda att göra

Det fanns ingen klientuppdatering, eftersom det inte fanns något på klienten att uppdatera. Varons vägledning handlar om auktorisering snarare än patchning: granska apparna som är anslutna till en assistent och frånkoppla dem som inte behöver vara där, behandla Copilot som en privilegierad insider med åtkomst till allt det kan nå, och behandla en oönskad länk som öppnar en AI-assistent som en attackyta snarare än en bekvämlighet. "Granska anslutningar, minimera åtkomst och antag att förtroendegränsen mellan legitima och injicerade prompter kommer att brytas", sade Adar till Dark Reading.

Microsofts egen skriftliga ståndpunkt om den bredare minnesförgiftningsklassen föregår CoSnitch-fixen. The Hacker News rapporterar att ett Microsoft-säkerhetsblogginlägg från den 22 juni 2026, som gäller Microsoft 365 snarare än konsumentprodukten, beskriver sanering och kontroller mot prompt-injektion vid minnesskrivningar, kontroller av Task Adherence vid varje explicit skrivning samt ett revisionsfält av typen MemoryUpdated som visas i Defender Advanced Hunting och Sentinel — och krediterar MSRC-ärenden från Johann Rehberger, Håkon Måløy och Gal Zror.

Där kedjan sitter

Posten noterar att CoSnitch kan paras ihop med CVE-2026-24299, identifieraren som Microsoft tilldelade den minnesförgiftningsforskning som Johann Rehberger presenterade på DEF CON Singapore under namnet Copirate 365. Rehbergers rapport, publicerad den 4 maj 2026, omfattar minnesskrivningar och minnesraderingar som nås genom indirekt promptinjektion i Microsoft 365 Copilot och Copilot för konsumenter, samt en exfiltreringskanal via HTML-förhandsgranskning som utnyttjar laddning av typsnitt och bakgrundsbilder. Microsofts post för CVE-2026-24299 är daterad den 19 mars 2026 och har en CVSS 3.1-baspoäng på 5,3, med exploited registrerat som No.

Cloud Security Alliance räknar CoSnitch som den fjärde ettklicks- eller nollkliksexfiltreringskedjan som avslöjats sedan juni 2025, efter EchoLeak (CVE-2025-32711), Reprompt och SearchLeak (CVE-2026-42824). Den siffran är CSAs, inte arkivets, och det är det starkaste argumentet i den offentliga dokumentationen för att detta är en återkommande form snarare än en enda dålig parameter: en assistent med ständig åtkomst till e-post, filer och ett minneslager, nådd via en länk som någon övertalades att öppna.

De delar av CoSnitch som en läsare kan verifiera utan en Microsoft-tenant är begränsade — ett CVE, en poäng, ett åtgärdsdatum och två statusfält som båda säger nej. De delar som gör den till en milstolpe är de delar som för närvarande vilar på ett labs redogörelse för ett samtal med en chattbot: att en produktionsassistent namngav sin egen odokumenterade trigger när den bads att förklara varför attacken var omöjlig.