CoSnitch（CVE-2026-24301）：一條連結、一句提示，以及挺過重新註冊的記憶

微軟於 2026 年 8 月 18 日修補了 Copilot Personal 中一組由三部分組成的漏洞鏈，該漏洞鏈可讓單一精心建構的連結在受害者的已驗證工作階段中執行攻擊者的提示詞，接著再透過 Copilot 自身的網路存取權限，將其取得的內容往外送出。Varonis Threat Labs 於 2025 年 12 月向微軟通報這些問題，並在修補程式發布當天公布其分析，將這項研究命名為 CoSnitch。微軟將其編號為 CVE-2026-24301，名稱為「Microsoft Copilot 資訊洩露漏洞」，歸類於 CWE-77，屬命令注入漏洞，可讓未經授權的攻擊者透過網路洩露資訊。這條漏洞鏈觸及 Gmail 與 Outlook 的郵件內文、Google 行事曆項目、Google 雲端硬碟的檔案名稱、Copilot 聊天記錄以及 Copilot 記憶——這些全都是使用者早已授權 Copilot 讀取的資料。第三階段會將指令寫入 Copilot 的持久記憶，根據 Varonis 的說法，這些指令在密碼變更、工作階段撤銷及裝置重新註冊後依然存在。Varonis 與微軟自身的公告記錄均未記載任何在野利用。完整記錄，包含其信心等級與引用的來源，收錄於Orca AI Incident Archive，與該系列中相鄰的條目並列。

一個連結如何成為涵蓋整個工作階段的查詢

觸發點是查詢字串。Copilot Personal 接受 q 參數，該參數會用連結提供的文字預先填入聊天輸入框，讓使用者只需按下 Enter——這項功能的存在，是為了讓書籤或外部頁面能把提示交給助理審查。Varonis 發現第二個未公開的參數 autorun=1，它移除了審查步驟。形式為 copilot.microsoft.com/?q= 後接攻擊者的提示再加上 autorun=1 的 URL，會在頁面載入時執行該提示，而且研究人員指出，即使分頁隨後立刻關閉，執行仍會完成。該提示會以受害者的工作階段內容、連接器和記憶來執行，這就是為何這條攻擊鏈能觸及攻擊者從未擁有憑證的資料。

第二階段是外洩。注入的提示查詢了已連接的應用程式，視情況將結果串接起來，以 base64 編碼成 URL 安全字串，並指示 Copilot 前往攻擊者控制的位址。由於是 Copilot 自身的 URL 抓取與摘要能力發出請求，因此對外流量看起來就像例行瀏覽。Varonis 的範例使用 Pipedream webhook 主機作為收集點，並將酬載放在 URL 路徑中。研究人員列出的資料類別相當具體：郵件中的完整訊息本文、主旨行，以及寄件人與收件人中介資料，包括明文密碼、內部系統密碼與重設連結；行事曆標題、出席者、時間與地點；Drive 檔案名稱與中介資料摘要；先前的聊天記錄；以及 Copilot 記憶中儲存的指示。Varonis 指出，base64 編碼也會讓對外請求更難被那些尋找敏感模式的過濾器察覺。

第三階段是比工作階段更持久的那一階段。Copilot 所摘要的頁面可能夾帶隱藏在單像素白色文字、HTML 註解、CSS 隱藏段落或中繼資料中的指令，而 Varonis 指出，Copilot 將這些字串視為指令，而非內容。在一次示範中，被注入的記憶斷言某個 CVE 無害，好讓 Copilot 日後抑制該警告；同樣的機制可用來過濾結果、使回答產生偏差，或在符合特定條件時觸發動作。記憶項目沒有到期期限，登出時也不會重設；它們存放在使用者層級的儲存區，而不是工作階段裡。研究人員表示，清除記憶項目的唯一方法是透過 Copilot 的記憶設定，但大多數使用者不知道這項設定的存在。

Copilot 為自己命名的參數

Varonis 將這種探索方法稱為 meta-hacking：用該部落格自己的說法，是「對推理引擎本身進行社交工程」，或「你不是利用模型，而是操縱它配合」。研究人員一開始詢問 Copilot，如何能讓提示詞在無需使用者互動的情況下執行。Copilot 回答說必須有使用者意圖，提示詞不會自行觸發。然而，每一次拒絕都附帶了有關提示詞如何被處理的技術細節，研究人員便將下一個問題重新表述為關於 URL 結構、深層連結，以及載入時輸入已預先填入的頁面的普通追問。根據該部落格，Copilot 接著在拒絕過程中主動披露了這個未記載的參數，連同其過往行為以及為停用該參數而新增的保護措施。研究人員依照描述建構了該 URL，提示詞便執行了。

那段對話的記述僅出自 Varonis 一方。該部落格表示，具體的 meta-hacking 問題並未逐字重現，而 Dark Reading 引述的微軟對該漏洞的公開聲明，則完全未提及這項手法。撰寫該分析的 Varonis 資深研究員 Lior Adar 向 Dark Reading 表示，Copilot「把鑰匙交给了我們」，而他預期 meta-hacking 這個元素會是研究中持續受到關注的部分。該部落格自身的摘要更為直白：「Copilot 並非遭到入侵，而是被玩弄於股掌之間。」

Microsoft 修正了什麼，以及其項目記錄了什麼

Microsoft 的 Security Update Guide 中 CVE-2026-24301 條目於 2026 年 8 月 18 日在 2026 年 8 月版本中發布，並於 2026 年 8 月 25 日最後修訂。它將該問題評為 Critical，CVSS 3.1 基礎分數為 8.8，時間分數為 7.7；向量為 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H。歸檔將此記錄列為高嚴重性，而 8.8 基礎分數在 CVSS 3.1 下正落於此級別——微軟同一條目上的嚴重性標籤為 Critical。有兩個欄位比這個數字更重要：微軟記錄該問題在修補前未公開揭露，且未被利用。

此項條目並未提供任何可供使用者安裝的修補程式，而微軟的常見問題集也直接言明：「此漏洞已由微軟完全緩解。此服務的使用者無須採取任何行動。此 CVE 的目的在於提供進一步的透明度。」微軟在發布當天提供給 Dark Reading 的聲明也表達了相同立場——「我們的客戶已受到保護，無須採取任何行動」——並補充道：「我們持續更新防護機制，以強化對抗類似手法的防護能力。」Varonis 肯定微軟在修復過程中的協作，且未對時機提出質疑。

大多數報導緊扣的是這段空窗期的長度：2025 年 12 月通報、2026 年 8 月 18 日修補，而 Cloud Security Alliance 於 2026 年 8 月 20 日發布的研究紀要則估算其約達八個月。在這段空窗期內，該漏洞潛藏於一款消費性產品之中，任何人只要透過瀏覽器連結就能觸及。

已確立、已歸屬，以及未聲明

• 已確認：存在一項 CVE，日期為 2026 年 8 月 18 日，基礎評分為 8.8，且 Microsoft 記錄顯示其並未在修補前披露，也未被利用。

• 由微軟發言人確認，未經獨立審計：該問題僅限於 Copilot Personal，企業客戶未受影響。

• 歸功於 Varonis、經各方轉述而非自行重現：該攻擊鏈的運作機制——autorun 參數、webhook 外洩、記憶體投毒示範。The Hacker News、Dark Reading 與 Cloud Security Alliance 皆有所描述；然而這些媒體均未發表自家的重現結果。

• 歸因於 Varonis，單一來源：該場後設駭客對話，以及 Copilot 在其中披露的內容。目前尚未公布逐字稿。

• 尚無人聲稱：受害者、攻擊活動或任何實際環境中的使用。Varonis 表示尚未發現任何遭利用的證據，而 Microsoft 將「是否遭利用」記錄為 No。

• 未披露：該修補程式是否清除了在其之前寫入的記憶體項目。The Hacker News 指出，披露內容並未說明。

個人產品，企業數據

微軟的範圍界定就其目前所述而言是準確的：漏洞出在消費者助理，而非 Microsoft 365 Copilot。Adar 的論點是，這道界線實際發揮的作用比表面上看起來更少。他向 Dark Reading 表示：「我們發現的具體漏洞確實存在於 Personal 版本，這點沒錯。但使用 Copilot Personal 的人，正是週一早上走進你辦公室的那個人。」「他們可能把公司電子郵件轉寄到個人 Gmail、在個人帳號上分享憑證、把工作文件放在個人 Drive。因此，當 CoSnitch 從個人收件匣外洩資料時，它取得的資料往往是企業資料。從個人帳號竊得的密碼，會成為進入你企業租戶的立足點。」這是關於影響範圍的評估，而非對漏洞範圍的主張，而微軟尚未對此作出回應。

防守者被告知要做什麼

沒有用戶端更新，因為用戶端上根本沒有東西需要更新。Varonis 的指引談的是授權，而非修補：檢視連接到助理的應用程式，並中斷那些不需要存在的連線；把 Copilot 視為具有特權的內部人員，能存取它所能觸及的一切；並把開啟 AI 助理的未經請求連結視為攻擊面，而非便利功能。「稽核連接器、盡量縮小存取範圍，並假設合法提示與注入提示之間的信任邊界終將被突破，」Adar 向《Dark Reading》表示。

微軟本身針對更廣泛的記憶體投毒類別所發表的書面立場，早於 CoSnitch 的修正。Hacker News 報導指出，微軟於 2026 年 6 月 22 日發布的一篇安全部落格文章（範圍涵蓋 Microsoft 365，而非消費端產品）說明了對記憶體寫入進行消毒與提示注入檢查、對每一次明確寫入執行 Task Adherence 檢查，以及在 Defender Advanced Hunting 與 Sentinel 中呈現的 MemoryUpdated 稽核欄位，並歸功於 Johann Rehberger、Håkon Måløy 與 Gal Zror 提出的 MSRC 案件。

鏈條所在的位置

記錄指出，CoSnitch 可與 CVE-2026-24299 搭配，該識別碼是 Microsoft 指派給 Johann Rehberger 在 DEF CON Singapore 以 Copirate 365 為名發表的記憶體毒化研究。Rehberger 於 2026 年 5 月 4 日發表的文章，涵蓋透過 Microsoft 365 Copilot 與消費版 Copilot 的中間接提示注入所達成的記憶體寫入與刪除，以及一個濫用字型與背景圖片載入的 HTML 預覽外洩通道。Microsoft 對 CVE-2026-24299 的條目日期為 2026 年 3 月 19 日，CVSS 3.1 基礎分數為 5.3，「已遭利用」記錄為 No。

Cloud Security Alliance 將 CoSnitch 列為自 2025 年 6 月以來所披露的第四條一鍵或零點擊 Copilot 外洩鏈，排在 EchoLeak（CVE-2025-32711）、Reprompt 與 SearchLeak（CVE-2026-42824）之後。這個計數是 CSA 的，不是該檔案庫的；而且它是公開紀錄中最有力的論證，證明這是一種反覆出現的模式，而非單一錯誤參數：一個對郵件、檔案與記憶儲存擁有常設存取權限的助理，透過某人被誘導打開的連結而被觸及。

CoSnitch 中，讀者在沒有 Microsoft 租用戶的情況下就能自行查證的部分相當有限——一個 CVE、一個評分、一個修復日期，以及兩個都寫著「否」的狀態欄位。而讓它堪稱里程碑的部分，目前卻只建立在單一實驗室對於一段與聊天機器人對話的說法之上：某個正式環境中的助理在被要求解釋為何該攻擊不可能成立時，說出了它自己未經記載的觸發條件。