CoSnitch: Copilot podía ejecutar prompts desde un enlace y sustraer datos personales

Una cadena de vulnerabilidades dentro de Copilot Personal

Varonis Threat Labs identificó una cadena de vulnerabilidades en Microsoft Copilot Personal que podía convertir un simple clic en un enlace en la ejecución automática de comandos. El ataque, denominado CoSnitch, combinaba divulgación de información técnica, prompt injection, envenenamiento persistente de la memoria y exfiltración de datos.

Microsoft distribuyó las correcciones el 18 de agosto de 2026, después de recibir el aviso sobre el problema en diciembre de 2025. Varonis declaró que no había observado indicios de explotación real.

La vulnerabilidad está identificada como CVE-2026-24301 y recibió una puntuación CVSS 3.1 de 8.8, con el siguiente vector:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

La puntuación refleja una vulnerabilidad explotable de forma remota, sin privilegios previos, aunque requiere que la víctima interactúe al menos haciendo clic en un enlace. Los posibles impactos afectan a la confidencialidad, la integridad y la disponibilidad de la información accesible.

El parámetro oculto que activaba el prompt

La investigación partió de una pregunta aparentemente teórica: ¿en qué condiciones podría Copilot ejecutar un prompt sin una interacción directa del usuario?

Las respuestas del chatbot negaban que fuera posible iniciar un comando sin la intención del usuario, pero al mismo tiempo proporcionaban detalles sobre el funcionamiento interno del sistema. Mediante preguntas sucesivas sobre URL, deep links, parámetros de consulta y comportamiento al cargar una página, los investigadores reconstruyeron distintos elementos de la arquitectura de Copilot.

Varonis denominó esta técnica meta-hacking. El asistente es interrogado para obtener información sobre su propio comportamiento, los mecanismos de gestión de prompts y la estructura de los enlaces. Los detalles recopilados pueden utilizarse después para construir un ataque más dirigido.

Antes de la corrección, el parámetro no documentado ?autorun=1, combinado con un parámetro que contenía el prompt, podía provocar la ejecución automática del comando al abrir la página. La estructura del enlace era similar a esta:

copilot.microsoft.com/?q=<malicious_prompt>&autorun=1

El dominio seguía siendo el legítimo de Copilot. La víctima tenía que hacer clic en el enlace, pero no se requería una confirmación adicional para iniciar el prompt incorporado.

El comando se ejecutaba en la sesión autenticada de la víctima, aprovechando los privilegios y las conexiones que Copilot ya tenía disponibles. Por tanto, el problema no consistía únicamente en abrir una página manipulada: el enlace podía actuar como vehículo para transmitir una instrucción a un asistente conectado a distintos servicios.

Qué datos podían quedar expuestos

Según el análisis, un prompt malicioso podía ordenar a Copilot que realizara acciones en los servicios accesibles desde la sesión del usuario. Entre los recursos potencialmente afectados figuraban:

• Gmail;
• Google Drive;
• Google Calendar;
• la memoria persistente de Copilot;
• el historial de conversaciones.

El atacante podría haber utilizado el sistema para buscar información, recopilar mensajes y documentos, consultar citas o realizar tareas de reconocimiento. Los datos localizados podían transferirse posteriormente al exterior mediante las funciones y conexiones disponibles para el asistente.

El riesgo no se limitaba a la lectura de datos. Un prompt también podía introducir contenido en la memoria de Copilot, haciéndolo disponible en interacciones posteriores. Esta información manipulada podía alterar futuras respuestas, orientar las decisiones del sistema o influir en la interpretación de solicitudes legítimas.

El envenenamiento de la memoria añade, por tanto, un componente persistente al ataque. La vulneración no tiene por qué terminar con una única sesión: el contenido falso o las instrucciones maliciosas pueden permanecer en el contexto utilizado por el asistente.

La frontera entre las cuentas personales y los datos corporativos

Según la empresa, Microsoft Copilot Enterprise no se vio afectado. La vulnerabilidad afectó a Microsoft Copilot Personal.

Sin embargo, esta limitación no elimina el riesgo para las organizaciones. Las cuentas personales pueden contener datos laborales o estar conectadas indirectamente con recursos corporativos. Algunos ejemplos son los correos corporativos reenviados a cuentas privadas de Gmail, los documentos de trabajo almacenados en unidades personales de Drive y las credenciales guardadas en cuentas no gestionadas por la empresa.

Incluso una contraseña sustraída de una cuenta personal puede convertirse en el punto de partida para acceder a otros entornos. El impacto depende de las conexiones configuradas y de los privilegios disponibles, que no siempre son visibles para la organización.

CoSnitch pone de manifiesto un problema más general de los asistentes de IA con acceso a numerosas fuentes de información: el sistema puede disponer de privilegios elevados, pero no comprender por sí mismo qué instrucciones son fiables y cuáles contienen elementos hostiles. Una frase incluida en un prompt, una página o una fuente conectada puede interpretarse indebidamente como una orden.

Qué deben hacer los usuarios y administradores

Microsoft ha declarado que los clientes ya están protegidos y que no es necesario realizar ninguna acción específica. La corrección aborda CVE-2026-24301; aun así, los usuarios deberían comprobar que Copilot Personal utiliza la versión actualizada del servicio.

Desde el punto de vista operativo, conviene:

• revisar los conectores asociados a los asistentes de IA;
• limitar los permisos a los recursos estrictamente necesarios;
• separar las cuentas personales de los datos corporativos;
• evitar reenviar correos corporativos a buzones privados;
• no almacenar documentos de trabajo ni credenciales en unidades personales de Drive;
• revisar la memoria persistente de los asistentes y eliminar contenido inesperado;
• supervisar los accesos anómalos a Gmail, Drive, Calendar y las cuentas Microsoft conectadas;
• prestar atención a los enlaces que abren directamente Copilot con parámetros inusuales.

Ante cualquier actividad sospechosa, se recomienda revisar el historial de conversaciones, los permisos concedidos a los servicios conectados y los accesos recientes a las cuentas. La presencia de datos inesperados en la memoria de Copilot puede indicar una alteración que debe investigarse, aunque por sí sola no constituye una prueba de compromiso.

Varonis no observó explotación in the wild. No obstante, la combinación de ejecución automática, acceso contextual a los datos, memoria persistente y divulgación de la arquitectura hace que el caso sea relevante: un asistente puede convertirse simultáneamente en una herramienta de reconocimiento, un motor operativo y una superficie de exfiltración.