CoSnitch (CVE-2026-24301): ลิงก์เดียว พรอมต์เดียว และหน่วยความจำที่อยู่รอดจากการลงทะเบียนใหม่

ไมโครซอฟต์แก้ไขห่วงโซ่ช่องโหว่สามขั้นตอนใน Copilot Personal เมื่อวันที่ 18 สิงหาคม 2026 ซึ่งทำให้ลิงก์ที่จัดทำขึ้นเพียงลิงก์เดียวสามารถรันพรอมป์ของผู้โจมตีภายในเซสชันที่ผ่านการยืนยันตัวตนของผู้เสียหาย แล้วส่งสิ่งที่พบกลับออกไปผ่านการเข้าถึงเครือข่ายของ Copilot เอง Varonis Threat Labs ซึ่งรายงานปัญหาเหล่านี้ให้ไมโครซอฟต์ในเดือนธันวาคม 2025 และเผยแพร่บทวิเคราะห์ในวันที่แพตช์ออก ตั้งชื่องานวิจัยนี้ว่า CoSnitch ไมโครซอฟต์ติดตามในชื่อ CVE-2026-24301 "Microsoft Copilot Information Disclosure Vulnerability" จัดอยู่ใน CWE-77 เป็นช่องโหว่การฉีดคำสั่งที่ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตเปิดเผยข้อมูลผ่านเครือข่ายได้ ห่วงโซ่นี้เข้าถึงเนื้อหาข้อความใน Gmail และ Outlook รายการใน Google Calendar ชื่อไฟล์ใน Google Drive ประวัติแชท Copilot และหน่วยความจำของ Copilot ซึ่งทั้งหมดเป็นข้อมูลที่ผู้ใช้ได้อนุญาตให้ Copilot อ่านอยู่แล้ว ขั้นตอนที่สามเขียนคำสั่งลงในหน่วยความจำถาวรของ Copilot ซึ่งตามข้อมูลของ Varonis สามารถอยู่รอดจากการเปลี่ยนรหัสผ่าน การเพิกถอนเซสชัน และการลงทะเบียนอุปกรณ์ใหม่ ทั้ง Varonis และรายการของไมโครซอฟต์เองไม่ได้บันทึกการถูกใช้ประโยชน์ในโลกจริง บันทึกฉบับเต็มพร้อมระดับความเชื่อมั่นและแหล่งอ้างอิง ถูกเก็บไว้ใน Orca AI Incident Archive เคียงข้างรายการที่อยู่ใกล้เคียงในชุดเดียวกัน

ลิงก์เดียวกลายเป็นคิวรีที่ครอบคลุมทั้งเซสชันได้อย่างไร

จุดชนวนคือ query string ครับ Copilot Personal ยอมรับพารามิเตอร์ q ซึ่งจะเติมข้อความที่ผู้ให้ลิงก์กำหนดไว้ล่วงหน้าลงในช่องแชท โดยปล่อยให้ผู้ใช้เป็นคนกด Enter เอง ฟีเจอร์นี้มีไว้เพื่อให้บุ๊กมาร์กหรือหน้าเว็บภายนอกสามารถส่งพรอมต์ให้ผู้ช่วยตรวจสอบได้ Varonis พบพารามิเตอร์ตัวที่สองที่ไม่มีในเอกสาร คือ autorun=1 ซึ่งตัดขั้นตอนการตรวจสอบออกไป URL ในรูปแบบ copilot.microsoft.com/?q= ตามด้วยพรอมต์ของผู้โจมตีและ autorun=1 จะสั่งให้พรอมต์นั้นทำงานทันทีเมื่อหน้าเว็บโหลด และนักวิจัยรายงานว่าการทำงานนี้เสร็จสมบูรณ์แม้จะปิดแท็บทันทีหลังจากนั้นก็ตาม พรอมต์จะทำงานภายใต้บริบทเซสชัน คอนเนกเตอร์ และหน่วยความจำของผู้เสียหาย ซึ่งเป็นเหตุผลที่ทำให้ห่วงโซ่นี้เข้าถึงข้อมูลที่ผู้โจมตีไม่เคยมีข้อมูลรับรองสำหรับการเข้าถึงได้

ระยะที่สองคือการส่งข้อมูลออก (exfiltration) พรอมต์ที่ถูกฉีดเข้าไปได้สอบถามแอปที่เชื่อมต่ออยู่ โดยอาจนำผลลัพธ์มาต่อกัน เข้ารหัสแบบ base64 เป็นสตริงที่ปลอดภัยสำหรับ URL และสั่งให้ Copilot ไปดึงที่อยู่ที่ผู้โจมตีควบคุม ความสามารถในการดึง URL และสรุปข้อมูลของ Copilot เองเป็นผู้ส่งคำขอนั้น ดังนั้นทราฟฟิกขาออกจึงดูเหมือนการท่องเว็บตามปกติ ตัวอย่างของ Varonis ใช้โฮสต์เว็บฮุกของ Pipedream เป็นจุดรวบรวมข้อมูล โดยมีเพย์โหลดอยู่ในพาธของ URL ประเภทข้อมูลที่นักวิจัยระบุนั้นเจาะจงมาก ได้แก่ เนื้อหาข้อความเต็ม หัวเรื่อง และเมทาดาทาของผู้ส่งและผู้รับจากอีเมล รวมถึงรหัสผ่านแบบข้อความธรรมดา รหัสผ่านระบบภายใน และลิงก์รีเซ็ต; ชื่อกิจกรรมในปฏิทิน ผู้เข้าร่วม เวลา และสถานที่; ชื่อไฟล์และสรุปเมทาดาทาของ Drive; ประวัติแชตก่อนหน้า; และคำสั่งที่บันทึกไว้ในหน่วยความจำของ Copilot Varonis ตั้งข้อสังเกตว่าการเข้ารหัสแบบ base64 ยังทำให้ตัวกรองที่มองหารูปแบบข้อมูลอ่อนไหวตรวจพบคำขอขาออกได้ยากขึ้นด้วย

ระยะที่สามคือระยะที่คงอยู่ยาวนานกว่าตัวเซสชัน หน้าเว็บที่ Copilot สรุปเนื้อหาอาจมีคำสั่งที่ซ่อนอยู่ในข้อความสีขาวขนาดหนึ่งพิกเซล คอมเมนต์ HTML ย่อหน้าที่ซ่อนด้วย CSS หรือข้อมูลเมตา และ Varonis รายงานว่า Copilot ปฏิบัติต่อสตริงเหล่านั้นในฐานะคำสั่งแทนที่จะเป็นเนื้อหา ในการสาธิตครั้งหนึ่ง หน่วยความจำที่ถูกแทรกเข้าไปยืนยันว่า CVE หนึ่งรายการไม่เป็นอันตราย เพื่อให้ Copilot ระงับคำเตือนในภายหลัง กลไกเดียวกันนี้อาจถูกใช้เพื่อกรองผลลัพธ์ ทำให้คำตอบเอนเอียง หรือกระตุ้นการกระทำเมื่อเข้าเงื่อนไข รายการหน่วยความจำไม่มีการหมดอายุและไม่รีเซ็ตเมื่อออกจากระบบ รายการเหล่านี้อยู่ในที่จัดเก็บระดับผู้ใช้แทนที่จะอยู่ในเซสชัน นักวิจัยกล่าวว่าวิธีเดียวที่จะล้างรายการหนึ่งได้คือผ่านการตั้งค่าหน่วยความจำของ Copilot ซึ่งผู้ใช้ส่วนใหญ่ไม่รู้ว่ามีอยู่

พารามิเตอร์ที่ Copilot ตั้งชื่อให้ตัวเอง

Varonis เรียกวิธีการค้นพบนี้ว่า meta-hacking: “การทำวิศวกรรมสังคมกับตัวกลไกการให้เหตุผลเอง” ตามถ้อยคำในบล็อก หรือ “คุณไม่ได้เจาะช่องโหว่ของโมเดล แต่คุณหลอกให้มันร่วมมือ” นักวิจัยเริ่มต้นด้วยการถาม Copilot ว่าพรอมต์จะถูกทำให้ทำงานได้โดยไม่ต้องมีผู้ใช้โต้ตอบได้อย่างไร Copilot ตอบว่าจำเป็นต้องมีเจตนาของผู้ใช้ และพรอมต์ไม่ทำงานด้วยตัวเอง อย่างไรก็ตาม การปฏิเสธแต่ละครั้งมีรายละเอียดทางเทคนิคเกี่ยวกับวิธีจัดการพรอมต์ และนักวิจัยได้ปรับคำถามถัดไปให้เป็นคำถามติดตามปกติเกี่ยวกับโครงสร้าง URL ดีปลิงก์ และหน้าที่โหลดโดยมีข้อมูลอินพุตถูกเติมไว้แล้ว ตามบล็อก Copilot ได้เปิดเผยพารามิเตอร์ที่ไม่มีเอกสารกำกับโดยไม่ถูกถาม ระหว่างการปฏิเสธ พร้อมกับพฤติกรรมในอดีตและมาตรการป้องกันที่เพิ่มเข้ามาเพื่อปิดใช้งานพารามิเตอร์นั้น นักวิจัยสร้าง URL ตามที่อธิบายไว้ และพรอมต์ก็ทำงาน

คำอธิบายการสนทนาครั้งนั้นเป็นของ Varonis แต่เพียงผู้เดียว บล็อกระบุว่าคำถามเฉพาะเกี่ยวกับ meta-hacking ไม่ได้ถูกถ่ายทอดแบบคำต่อคำ และแถลงการณ์สาธารณะของ Microsoft เกี่ยวกับช่องโหว่นี้ ซึ่ง Dark Reading นำมาอ้าง ก็ไม่ได้กล่าวถึงเทคนิคดังกล่าวเลย Lior Adar นักวิจัยอาวุโสของ Varonis ผู้เขียนบทวิเคราะห์ บอกกับ Dark Reading ว่า Copilot “ยื่นกุญแจให้เรา” และองค์ประกอบด้าน meta-hacking คือส่วนหนึ่งของงานวิจัยที่เขาคาดว่าจะยังคงมีความสำคัญสืบไป สรุปของบล็อกเองก็ตรงไปตรงมามากกว่า: “Copilot ไม่ได้ถูกเจาะระบบ แต่ถูกเล่นงาน”

สิ่งที่ Microsoft แก้ไข และสิ่งที่บันทึกของรายการนั้นระบุไว้

รายการ Security Update Guide ของ Microsoft สำหรับ CVE-2026-24301 เผยแพร่เมื่อวันที่ 18 สิงหาคม 2026 ในรุ่นเผยแพร่ 2026-Aug และแก้ไขล่าสุดเมื่อวันที่ 25 สิงหาคม 2026 โดยจัดระดับปัญหาเป็น Critical ด้วยคะแนนฐาน CVSS 3.1 เท่ากับ 8.8 และคะแนนเชิงเวลา 7.7 เวกเตอร์คือ AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H ระบบจัดเก็บเอกสารจัดประเภทบันทึกนี้เป็นความรุนแรงระดับสูง ซึ่งเป็นช่วงที่คะแนนฐาน 8.8 จัดอยู่ในช่วงดังกล่าวภายใต้ CVSS 3.1 — ป้ายระดับความรุนแรงของ Microsoft ในรายการเดียวกันคือ Critical มีสองฟิลด์ที่สำคัญกว่าตัวเลข ได้แก่ Microsoft บันทึกว่าปัญหานี้ไม่ถูกเปิดเผยต่อสาธารณะก่อนการแพตช์ และไม่ถูกนำไปใช้ประโยชน์

รายการนี้ไม่มีแพตช์ให้ใครติดตั้ง และคำถามที่พบบ่อยของ Microsoft ก็ระบุไว้ตรง ๆ ว่า "ช่องโหว่นี้ได้รับการบรรเทาผลกระทบอย่างเต็มที่โดย Microsoft แล้ว ไม่มีสิ่งที่ผู้ใช้บริการนี้ต้องดำเนินการ จุดประสงค์ของ CVE นี้คือเพื่อเพิ่มความโปร่งใสยิ่งขึ้น" คำแถลงที่ Microsoft ให้กับ Dark Reading ในวันที่เผยแพร่ก็กล่าวเช่นเดียวกัน คือ "ลูกค้าของเราได้รับการปกป้องแล้วและไม่จำเป็นต้องดำเนินการใด ๆ" พร้อมเสริมว่า "เราปรับปรุงแนวป้องกันของเราอย่างต่อเนื่องเพื่อเสริมความแข็งแกร่งในการป้องกันต่อเทคนิคที่คล้ายกัน" Varonis ยกย่องความร่วมมือของ Microsoft ในการแก้ไข และไม่โต้แย้งเกี่ยวกับจังหวะเวลา

สิ่งที่สื่อส่วนใหญ่ให้ความสนใจคือระยะเวลาของช่วงเวลาดังกล่าว: โดยมีการรายงานในเดือนธันวาคม 2025 และแพตช์เมื่อวันที่ 18 สิงหาคม 2026 ซึ่งบันทึกการวิจัยของ Cloud Security Alliance ฉบับวันที่ 20 สิงหาคม 2026 ประเมินว่าประมาณแปดเดือน ในช่วงเวลานั้นช่องโหว่ดังกล่าวอยู่ในผลิตภัณฑ์สำหรับผู้บริโภคที่ใคร ๆ ก็เข้าถึงได้ผ่านลิงก์ในเบราว์เซอร์

เป็นที่ยอมรับแล้ว ระบุที่มา และไม่ถูกกล่าวอ้าง

• ยืนยันแล้วว่า มี CVE อยู่ โดยลงวันที่ 18 สิงหาคม 2026 มีคะแนนฐาน 8.8 และ Microsoft บันทึกว่าไม่ได้ถูกเปิดเผยก่อนการแพตช์และไม่ได้ถูกใช้ประโยชน์

• โฆษกของ Microsoft เป็นผู้ยืนยัน ไม่ได้ผ่านการตรวจสอบอย่างอิสระ: ปัญหาจำกัดเฉพาะ Copilot Personal และลูกค้าองค์กรไม่ได้รับผลกระทบ

• มีการอ้างว่าเป็นผลงานของ Varonis และถูกนำไปกล่าวซ้ำ แต่ไม่มีการจำลองซ้ำ: กลไกของเชน — พารามิเตอร์ autorun, การส่งข้อมูลออกผ่าน webhook, การสาธิตการวางยาพิษหน่วยความจำ The Hacker News, Dark Reading และ Cloud Security Alliance อธิบายกลไกเหล่านี้ แต่ไม่มีสื่อใดในกลุ่มนี้ที่เผยแพร่การจำลองขึ้นเอง

• ระบุที่มาเป็น Varonis โดยเป็นแหล่งเดียว: บทสนทนาเกี่ยวกับ meta-hacking และสิ่งที่ Copilot เปิดเผยในบทสนทนานั้น ยังไม่มีการเผยแพร่บันทึกการสนทนา

• ยังไม่มีใครอ้างว่าพบเหยื่อ แคมเปญ หรือการใช้งานในโลกจริงใด ๆ Varonis ระบุว่ายังไม่พบหลักฐานการนำช่องโหว่ไปใช้ และ Microsoft บันทึกค่า exploited เป็น No

• ไม่เปิดเผย: การแก้ไขได้ล้างรายการในหน่วยความจำที่เขียนไว้ก่อนหน้านั้นหรือไม่ Hacker News ตั้งข้อสังเกตว่าคำชี้แจงไม่ได้ระบุ

ผลิตภัณฑ์ส่วนบุคคล ข้อมูลองค์กร

การกำหนดขอบเขตของ Microsoft นั้นแม่นยำเท่าที่มันครอบคลุมถึง: จุดบกพร่องนั้นอยู่ในตัวผู้ช่วยสำหรับผู้บริโภค ไม่ใช่ Microsoft 365 Copilot ข้อโต้แย้งของ Adar คือเส้นแบ่งดังกล่าวทำหน้าที่น้อยกว่าที่มันดูเหมือน "ช่องโหว่เฉพาะเจาะจงที่เราค้นพบนั้นอยู่ในเวอร์ชัน Personal นั่นถูกต้อง แต่คนที่ใช้ Copilot Personal ก็คือคนเดียวกันกับที่เดินเข้ามาในออฟฟิศของคุณในเช้าวันจันทร์" เขาบอกกับ Dark Reading "พวกเขาอาจมีอีเมลองค์กรที่ถูกส่งต่อมายัง Gmail ส่วนตัว มีข้อมูลรับรองที่แชร์ผ่านบัญชีส่วนตัว มีเอกสารงานอยู่ใน Drive ส่วนตัว ดังนั้นเมื่อ CoSnitch ดึงข้อมูลออกจากกล่องจดหมายส่วนตัว ข้อมูลที่มันดึงมามักเป็นข้อมูลระดับองค์กร รหัสผ่านที่ถูกขโมยจากบัญชีส่วนตัวกลายเป็นฐานที่มั่นใน tenant องค์กรของคุณ" นั่นเป็นการประเมินเกี่ยวกับขอบเขตผลกระทบมากกว่าจะเป็นการกล่าวอ้างเกี่ยวกับขอบเขตของช่องโหว่ และ Microsoft ยังไม่ได้ตอบโต้ต่อข้อกล่าวอ้างนี้

สิ่งที่กองหลังถูกบอกให้ทำ

ไม่มีการอัปเดตฝั่งไคลเอนต์ เพราะไม่มีสิ่งใดบนไคลเอนต์ที่ต้องอัปเดต คำแนะนำของ Varonis เป็นเรื่องเกี่ยวกับการให้สิทธิ์มากกว่าการแพตช์: ให้ตรวจสอบแอปที่เชื่อมต่อกับผู้ช่วย และตัดการเชื่อมต่อแอปที่ไม่จำเป็นต้องมีออก มอง Copilot เป็นคนในองค์กรที่มีสิทธิ์สูงซึ่งเข้าถึงทุกสิ่งที่มันเข้าถึงได้ และมองลิงก์ที่ไม่พึงประสงค์ซึ่งเปิดผู้ช่วย AI เป็นพื้นผิวการโจมตีมากกว่าความสะดวก “ตรวจสอบตัวเชื่อมต่อ ลดการเข้าถึงให้เหลือน้อยที่สุด และตั้งสมมติฐานว่าขอบเขตความไว้วางใจระหว่างพรอมต์ที่ถูกต้องกับพรอมต์ที่ถูกแทรกเข้ามาจะถูกทำให้แตก” Adar กล่าวกับ Dark Reading

ตำแหน่งอย่างเป็นทางการที่เป็นลายลักษณ์อักษรของ Microsoft เกี่ยวกับกลุ่มปัญหาการปนเปื้อนหน่วยความจำในวงกว้างนั้นมีมาก่อนการแก้ไขของ CoSnitch โดย Hacker News รายงานว่าโพสต์บล็อกด้านความปลอดภัยของ Microsoft ฉบับวันที่ 22 มิถุนายน 2026 ซึ่งจำกัดขอบเขตไว้ที่ Microsoft 365 แทนที่จะเป็นผลิตภัณฑ์สำหรับผู้บริโภค ได้อธิบายถึงการตรวจสอบการทำความสะอาดข้อมูล (sanitisation) และการตรวจสอบ prompt-injection ในการเขียนหน่วยความจำ การตรวจสอบ Task Adherence ในการเขียนแบบ explicit ทุกครั้ง และฟิลด์การตรวจสอบ MemoryUpdated ที่แสดงใน Defender Advanced Hunting และ Sentinel — พร้อมให้เครดิตเคสของ MSRC จาก Johann Rehberger, Håkon Måløy และ Gal Zror

ตำแหน่งที่ห่วงโซ่ตั้งอยู่

บันทึกระบุว่า CoSnitch สามารถจับคู่กับ CVE-2026-24299 ซึ่งเป็นตัวระบุที่ Microsoft กำหนดให้กับงานวิจัยด้าน memory poisoning ที่ Johann Rehberger นำเสนอในงาน DEF CON Singapore ภายใต้ชื่อ Copirate 365 บทความของ Rehberger ซึ่งเผยแพร่เมื่อวันที่ 4 พฤษภาคม 2026 ครอบคลุมการเขียนและการลบหน่วยความจำที่เข้าถึงได้ผ่านการฉีดพรอมต์ทางอ้อมใน Microsoft 365 Copilot และ Copilot สำหรับผู้บริโภค รวมถึงช่องทาง exfiltration ผ่านตัวอย่าง HTML ที่ใช้ประโยชน์จากการโหลดฟอนต์และภาพพื้นหลัง รายการของ Microsoft สำหรับ CVE-2026-24299 ลงวันที่ 19 มีนาคม 2026 และมีคะแนนฐาน CVSS 3.1 เท่ากับ 5.3 โดยบันทึกสถานะ exploited เป็น No

Cloud Security Alliance นับ CoSnitch เป็นห่วงโซ่การขโมยข้อมูลออกผ่าน Copilot แบบคลิกครั้งเดียวหรือไม่ต้องคลิกเป็นรายที่สี่ที่ถูกเปิดเผยตั้งแต่เดือนมิถุนายน 2025 ต่อจาก EchoLeak (CVE-2025-32711), Reprompt และ SearchLeak (CVE-2026-42824) การนับดังกล่าวเป็นของ CSA ไม่ใช่ของคลังข้อมูล และเป็นข้อโต้แย้งที่หนักแน่นที่สุดในบันทึกสาธารณะว่าเรื่องนี้เป็นรูปแบบที่เกิดซ้ำ ไม่ใช่พารามิเตอร์ที่ผิดพลาดเพียงตัวเดียว: ผู้ช่วยที่มีสิทธิ์เข้าถึงอีเมล ไฟล์ และที่เก็บความจำแบบถาวร ซึ่งเข้าถึงได้ผ่านลิงก์ที่ใครบางคนถูกโน้มน้าวให้เปิด

ส่วนของ CoSnitch ที่ผู้อ่านสามารถตรวจสอบได้โดยไม่ต้องมี Microsoft tenant นั้นมีขอบเขตแคบ — CVE หนึ่งรายการ คะแนนหนึ่งค่า วันที่แก้ไขหนึ่งวัน และฟิลด์สถานะสองฟิลด์ที่ทั้งคู่ระบุว่าไม่ ส่วนที่ทำให้มันเป็นหมุดหมายคือส่วนที่ในปัจจุบันพึ่งพาคำบอกเล่าของห้องแล็บเดียวเกี่ยวกับบทสนทนากับแชตบอต: ว่าเมื่อถูกขอให้อธิบายว่าทำไมการโจมตีจึงเป็นไปไม่ได้ ผู้ช่วยในระบบโปรดักชันได้ระบุทริกเกอร์ที่ไม่ได้บันทึกไว้ของตัวเอง