CoSnitch (CVE-2026-24301): Một liên kết, một lời nhắc và bộ nhớ tồn tại qua lần ghi danh lại

Microsoft đã vá một chuỗi lỗ hổng gồm ba phần trong Copilot Personal vào ngày 18 tháng 8 năm 2026, chuỗi lỗ hổng này cho phép chỉ một liên kết được tạo khéo léo chạy prompt của kẻ tấn công bên trong phiên đã xác thực của nạn nhân, rồi đẩy những gì nó tìm thấy ra ngoài qua chính quyền truy cập mạng của Copilot. Varonis Threat Labs, đơn vị đã báo cáo các vấn đề này cho Microsoft vào tháng 12 năm 2025 và công bố phân tích của mình vào đúng ngày bản vá được phát hành, đã đặt tên cho nghiên cứu là CoSnitch. Microsoft theo dõi lỗ hổng này với mã CVE-2026-24301, "Microsoft Copilot Information Disclosure Vulnerability", được phân loại theo CWE-77 là lỗ hổng chèn lệnh cho phép một kẻ tấn công không có quyền tiết lộ thông tin qua mạng. Chuỗi tấn công này đã chạm tới nội dung thư trong Gmail và Outlook, các mục trong Google Calendar, tên tệp trong Google Drive, lịch sử trò chuyện của Copilot và bộ nhớ của Copilot — tất cả đều là dữ liệu mà người dùng đã cấp quyền cho Copilot đọc từ trước. Giai đoạn thứ ba ghi các chỉ dẫn vào bộ nhớ lưu trữ lâu dài của Copilot mà, theo Varonis, vẫn tồn tại qua việc đổi mật khẩu, thu hồi phiên và đăng ký lại thiết bị. Cả Varonis lẫn mục ghi chép của chính Microsoft đều không ghi nhận bất kỳ trường hợp khai thác nào trong thực tế. Toàn bộ hồ sơ, cùng với cấp độ tin cậy và các nguồn được trích dẫn, được lưu giữ trong Orca AI Incident Archive, cùng với các mục lân cận trong bộ sưu tập.

Làm thế nào một liên kết trở thành truy vấn trên toàn phiên

Đòn kích hoạt là một chuỗi truy vấn. Copilot Personal chấp nhận tham số q để điền sẵn vào hộp trò chuyện văn bản do một liên kết cung cấp, để người dùng chỉ cần nhấn Enter — một tính năng tồn tại nhằm cho phép dấu trang hoặc một trang bên ngoài giao cho trợ lý một lời nhắc để xem xét. Varonis đã phát hiện một tham số thứ hai, không được ghi tài liệu, autorun=1, giúp loại bỏ bước xem xét. Một URL có dạng copilot.microsoft.com/?q= theo sau là lời nhắc của kẻ tấn công và autorun=1 sẽ thực thi lời nhắc đó khi trang tải lên, và các nhà nghiên cứu báo cáo rằng quá trình chạy vẫn hoàn tất ngay cả khi tab bị đóng ngay sau đó. Lời nhắc thực thi trong ngữ cảnh phiên, các connector và bộ nhớ của nạn nhân, đó là lý do chuỗi tấn công có thể chạm tới dữ liệu mà kẻ tấn công chưa từng có thông tin xác thực.

Giai đoạn hai là rò rỉ dữ liệu. Prompt bị chèn đã truy vấn các ứng dụng được kết nối, tùy chọn nối các kết quả lại, mã hóa chúng bằng base64 thành một chuỗi an toàn với URL, và chỉ dẫn Copilot truy xuất một địa chỉ do kẻ tấn công kiểm soát. Chính khả năng truy xuất URL và tóm tắt của Copilot đã thực hiện yêu cầu, nên lưu lượng gửi ra ngoài trông giống như duyệt web thông thường. Mẫu của Varonis dùng một máy chủ webhook Pipedream làm điểm thu thập, với payload nằm trong đường dẫn URL. Các lớp dữ liệu mà những nhà nghiên cứu liệt kê rất cụ thể: toàn bộ nội dung thư, dòng tiêu đề, và siêu dữ liệu người gửi và người nhận từ email, bao gồm mật khẩu dạng văn bản thuần, mật khẩu hệ thống nội bộ và liên kết đặt lại; tiêu đề lịch, người tham dự, thời gian và địa điểm; tên tệp và bản tóm tắt siêu dữ liệu trên Drive; lịch sử trò chuyện trước đó; và các chỉ dẫn đã lưu trong bộ nhớ Copilot. Varonis lưu ý rằng mã hóa Base64 cũng khiến yêu cầu gửi ra ngoài khó bị phát hiện hơn đối với các bộ lọc tìm kiếm mẫu nhạy cảm.

Giai đoạn ba là giai đoạn tồn tại lâu hơn phiên. Một trang mà Copilot tóm tắt có thể mang các chỉ dẫn ẩn trong văn bản màu trắng cỡ một pixel, chú thích HTML, các đoạn văn bị CSS ẩn hoặc siêu dữ liệu, và Varonis báo cáo rằng Copilot đã coi những chuỗi đó là chỉ thị chứ không phải nội dung. Trong một minh chứng, bộ nhớ bị chèn đã khẳng định rằng một CVE là vô hại, để Copilot sẽ ẩn cảnh báo về sau; cơ chế tương tự có thể được dùng để lọc kết quả, làm thiên lệch câu trả lời hoặc kích hoạt hành động theo một điều kiện. Các mục bộ nhớ không có thời hạn và không được đặt lại khi đăng xuất; chúng nằm trong kho lưu trữ cấp người dùng thay vì trong phiên. Các nhà nghiên cứu nói rằng cách duy nhất để xóa một mục là thông qua cài đặt bộ nhớ của Copilot, mà hầu hết người dùng không biết là có tồn tại.

Tham số do Copilot tự đặt tên

Varonis gọi phương pháp phát hiện này là meta-hacking: “dùng social engineering lên chính cỗ máy suy luận”, theo cách diễn đạt của chính blog, hay “bạn không khai thác mô hình, bạn thao túng nó để nó hợp tác”. Các nhà nghiên cứu bắt đầu bằng việc hỏi Copilot làm thế nào để một prompt có thể chạy mà không cần người dùng tương tác. Copilot trả lời rằng cần có ý định của người dùng và prompt không tự kích hoạt. Tuy nhiên, mỗi lần từ chối đều mang theo chi tiết kỹ thuật về cách các prompt được xử lý, và các nhà nghiên cứu đã định dạng lại câu hỏi tiếp theo thành một câu hỏi tiếp nối thông thường về cấu trúc URL, deep link và các trang tải lên với dữ liệu đầu vào đã được điền sẵn. Theo blog, Copilot sau đó đã tiết lộ tham số không được tài liệu hóa mà không được hỏi, ngay giữa lúc đang từ chối, cùng với hành vi lịch sử của tham số này và các biện pháp bảo vệ đã được thêm vào để vô hiệu hóa nó. Các nhà nghiên cứu đã dựng URL như được mô tả và prompt đã chạy.

Đoạn tường thuật đó về cuộc trò chuyện là của riêng Varonis. Bài blog nói rằng các câu hỏi meta-hacking cụ thể không được tái hiện nguyên văn, và tuyên bố công khai của Microsoft về lỗ hổng, được Dark Reading trích dẫn, hoàn toàn không đề cập đến kỹ thuật này. Lior Adar, chuyên gia nghiên cứu cấp cao của Varonis, người viết phân tích, nói với Dark Reading rằng Copilot “đã đưa chìa khóa cho chúng tôi” và rằng yếu tố meta-hacking là phần của nghiên cứu mà ông cho rằng sẽ tiếp tục có ý nghĩa. Bản tóm tắt của chính blog thì thẳng thắn hơn: “Copilot không bị xâm phạm; nó đã bị thao túng.”

Những gì Microsoft đã sửa và những gì hồ sơ đầu vào của nó ghi lại

Mục nhập Hướng dẫn Cập nhật Bảo mật của Microsoft cho CVE-2026-24301 được công bố vào ngày 18 tháng 8 năm 2026 trong bản phát hành 2026-Aug và được sửa đổi lần cuối vào ngày 25 tháng 8 năm 2026. Mục này xếp vấn đề ở mức Nghiêm trọng với điểm cơ sở CVSS 3.1 là 8.8 và điểm tạm thời là 7.7; vector là AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Kho lưu trữ ghi nhận hồ sơ này ở mức độ nghiêm trọng cao, tức là dải mà điểm cơ sở 8.8 thuộc về theo CVSS 3.1 — nhãn mức độ nghiêm trọng của Microsoft trên cùng mục nhập là Nghiêm trọng. Hai trường quan trọng hơn con số: Microsoft ghi nhận vấn đề là không được công bố công khai trước khi có bản vá, và không bị khai thác.

Mục này không kèm bản vá nào để ai đó cài đặt, và FAQ của Microsoft nói thẳng điều đó: “Lỗ hổng này đã được Microsoft giảm thiểu hoàn toàn. Người dùng dịch vụ này không cần thực hiện hành động nào. Mục đích của CVE này là cung cấp thêm tính minh bạch.” Tuyên bố mà Microsoft đưa cho Dark Reading vào ngày công bố cũng nói điều tương tự — “Khách hàng của chúng tôi đã được bảo vệ và không cần thực hiện bất kỳ hành động nào” — và nói thêm: “Chúng tôi liên tục cập nhật các rào chắn của mình để tăng cường bảo vệ chống lại các kỹ thuật tương tự.” Varonis ghi nhận sự hợp tác của Microsoft trong việc khắc phục và không tranh luận về thời điểm.

Độ dài của khoảng thời gian đó là điều mà hầu hết các bài đưa tin tập trung vào: được báo cáo vào tháng 12 năm 2025, được vá vào ngày 18 tháng 8 năm 2026, mà ghi chú nghiên cứu ngày 20 tháng 8 năm 2026 của Cloud Security Alliance đo là khoảng tám tháng. Trong khoảng thời gian đó, lỗ hổng nằm trong một sản phẩm tiêu dùng mà bất kỳ ai cũng có thể truy cập qua một liên kết trình duyệt.

Đã được xác lập, được ghi công và không được tuyên bố

• Đã xác định: tồn tại một CVE, mang ngày 18 tháng 8 năm 2026, có điểm cơ bản là 8,8 và được Microsoft ghi nhận là chưa được công bố trước bản vá lẫn chưa bị khai thác.

• Được khẳng định bởi người phát ngôn của Microsoft, không được kiểm toán độc lập: vấn đề chỉ giới hạn ở Copilot Personal và khách hàng doanh nghiệp không bị ảnh hưởng.

• Được cho là của Varonis và được lặp lại, chứ không phải được tái hiện: cơ chế của chuỗi tấn công — tham số autorun, việc tuồn dữ liệu qua webhook, màn trình diễn đầu độc bộ nhớ. The Hacker News, Dark Reading và Cloud Security Alliance đều mô tả chúng; không cơ quan nào trong số đó công bố bản tái hiện của riêng mình.

• Được quy cho Varonis, nguồn duy nhất: cuộc trò chuyện về meta-hacking và những gì Copilot tiết lộ trong đó. Chưa có bản ghi nào được công bố.

• Không ai tuyên bố về: nạn nhân, chiến dịch hoặc bất kỳ việc sử dụng ngoài thực tế nào. Varonis cho biết họ chưa thấy bằng chứng nào về việc bị khai thác, và Microsoft ghi nhận trạng thái bị khai thác là Không.

• Không được công bố: liệu bản vá có xóa các mục bộ nhớ được ghi trước đó hay không. The Hacker News lưu ý rằng thông tin công bố không đề cập.

Sản phẩm cá nhân, dữ liệu doanh nghiệp

Việc Microsoft xác định phạm vi là chính xác trong giới hạn những gì nó đề cập: lỗ hổng nằm ở trợ lý dành cho người tiêu dùng, không phải Microsoft 365 Copilot. Lập luận của Adar là ranh giới đó có tác dụng ít hơn vẻ ngoài của nó. “Các lỗ hổng cụ thể mà chúng tôi tìm thấy nằm ở phiên bản Personal, điều đó đúng. Nhưng người dùng Copilot Personal cũng chính là người bước vào văn phòng của bạn vào sáng thứ Hai,” ông nói với Dark Reading. “Họ có thể đã chuyển tiếp email công ty sang Gmail cá nhân, chia sẻ thông tin đăng nhập qua tài khoản cá nhân, để tài liệu công việc trong Drive cá nhân. Vì vậy khi CoSnitch rút dữ liệu từ một hộp thư cá nhân, dữ liệu nó lấy ra thường là dữ liệu doanh nghiệp. Một mật khẩu bị đánh cắp từ tài khoản cá nhân trở thành bàn đạp trong tenant doanh nghiệp của bạn.” Đó là đánh giá về phạm vi ảnh hưởng chứ không phải tuyên bố về quy mô của lỗ hổng, và Microsoft chưa phản hồi về điều đó.

Những gì các hậu vệ được dặn phải làm

Không có bản cập nhật máy khách nào, vì trên máy khách không có gì để cập nhật. Hướng dẫn của Varonis nói về phân quyền chứ không phải về vá lỗi: hãy xem xét các ứng dụng được kết nối với một trợ lý và ngắt kết nối những ứng dụng không cần phải có ở đó, coi Copilot như một người nội bộ có đặc quyền với quyền truy cập vào bất cứ thứ gì nó có thể chạm tới, và coi một liên kết không được yêu cầu mở trợ lý AI là một bề mặt tấn công chứ không phải một tiện ích. "Hãy kiểm tra các trình kết nối, giảm thiểu quyền truy cập, và giả định rằng ranh giới tin cậy giữa các lời nhắc hợp lệ và lời nhắc bị chèn sẽ bị phá vỡ," Adar nói với Dark Reading.

Lập trường bằng văn bản của chính Microsoft về nhóm lỗ hổng đầu độc bộ nhớ rộng hơn có từ trước bản vá CoSnitch. The Hacker News đưa tin rằng một bài đăng blog bảo mật của Microsoft ngày 22 tháng 6 năm 2026, có phạm vi áp dụng cho Microsoft 365 chứ không phải sản phẩm dành cho người tiêu dùng, mô tả các bước kiểm tra làm sạch và chèn lệnh (prompt injection) đối với các thao tác ghi bộ nhớ, các bước kiểm tra Task Adherence trên mọi thao tác ghi tường minh, và trường kiểm tra MemoryUpdated được hiển thị trong Defender Advanced Hunting và Sentinel — đồng thời ghi nhận các vụ việc MSRC do Johann Rehberger, Håkon Måløy và Gal Zror báo cáo.

Vị trí của chuỗi

Bản ghi lưu ý rằng CoSnitch có thể được ghép với CVE-2026-24299, mã định danh mà Microsoft gán cho nghiên cứu đầu độc bộ nhớ do Johann Rehberger trình bày tại DEF CON Singapore với tên Copirate 365. Bài viết của Rehberger, xuất bản ngày 4 tháng 5 năm 2026, đề cập đến các thao tác ghi và xóa bộ nhớ đạt được thông qua chèn lệnh gián tiếp trong Microsoft 365 Copilot và Copilot dành cho người tiêu dùng, cùng một kênh rò rỉ dữ liệu qua bản xem trước HTML lợi dụng việc tải phông chữ và ảnh nền. Mục của Microsoft cho CVE-2026-24299 có ngày 19 tháng 3 năm 2026 và mang điểm cơ bản CVSS 3.1 là 5.3, với trường exploited được ghi là No.

Liên minh An ninh Đám mây (Cloud Security Alliance) tính CoSnitch là chuỗi rò rỉ dữ liệu Copilot bằng một cú nhấp hoặc không cần nhấp thứ tư được công bố kể từ tháng 6 năm 2025, sau EchoLeak (CVE-2025-32711), Reprompt và SearchLeak (CVE-2026-42824). Con số đó là của CSA, không phải của kho lưu trữ, và đó là lập luận mạnh nhất trong hồ sơ công khai rằng đây là một mô thức lặp lại chứ không phải một tham số tồi duy nhất: một trợ lý có quyền truy cập thường trực vào thư, tệp và kho lưu trữ bộ nhớ, bị tiếp cận qua một liên kết mà ai đó đã bị dụ mở.

Những phần của CoSnitch mà người đọc có thể xác minh mà không cần tenant Microsoft thì hẹp — một CVE, một điểm số, một ngày sửa lỗi và hai trường trạng thái đều ghi "không". Những phần khiến nó trở thành cột mốc lại là những phần hiện đang dựa vào lời kể của một phòng thí nghiệm về một cuộc trò chuyện với chatbot: rằng một trợ lý đang vận hành thực tế đã nêu tên cơ chế kích hoạt không được tài liệu hóa của chính nó khi được yêu cầu giải thích vì sao cuộc tấn công là bất khả thi.