CoSnitch : Copilot pouvait exécuter des prompts depuis un lien et dérober des données personnelles

Une chaîne de vulnérabilités au sein de Copilot Personal

Varonis Threat Labs a identifié une chaîne de vulnérabilités dans Microsoft Copilot Personal qui pouvait transformer un simple clic sur un lien en exécution automatique de commandes. Baptisée CoSnitch, l’attaque combinait divulgation d’informations techniques, prompt injection, empoisonnement persistant de la mémoire et exfiltration de données.

Microsoft a déployé les correctifs le 18 août 2026, après avoir été informée du problème en décembre 2025. Varonis a indiqué n’avoir observé aucun signe d’exploitation réelle.

La vulnérabilité est identifiée sous le nom CVE-2026-24301 et a reçu un score CVSS 3.1 de 8,8, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Ce score reflète une faille exploitable à distance, sans privilèges préalables, mais nécessitant que la victime interagisse au moins en cliquant sur un lien. Les impacts potentiels concernent la confidentialité, l’intégrité et la disponibilité des informations accessibles.

Le paramètre caché qui activait le prompt

L’enquête est partie d’une question apparemment théorique : dans quelles conditions Copilot aurait-il pu exécuter un prompt sans interaction directe de l’utilisateur ?

Les réponses du chatbot niaient la possibilité de lancer une commande sans l’intention de l’utilisateur, tout en fournissant des détails sur le fonctionnement interne du système. En posant une série de questions sur les URL, les liens profonds, les paramètres de requête et le comportement au chargement d’une page, les chercheurs ont pu reconstituer certains éléments de l’architecture de Copilot.

Varonis a baptisé cette technique meta-hacking. L’assistant est interrogé afin d’obtenir des informations sur son propre comportement, les mécanismes de gestion des prompts et la structure des liens. Les détails recueillis peuvent ensuite servir à concevoir une attaque plus ciblée.

Avant la correction, le paramètre non documenté ?autorun=1, combiné à un paramètre contenant le prompt, pouvait entraîner l’exécution automatique de la commande à l’ouverture de la page. Le lien se présentait sous une forme similaire :

copilot.microsoft.com/?q=<malicious_prompt>&autorun=1

Le domaine restait celui, légitime, de Copilot. La victime devait cliquer sur le lien, mais aucune confirmation supplémentaire n’était nécessaire pour lancer le prompt intégré.

La commande était exécutée dans la session authentifiée de la victime, en exploitant les privilèges et les connexions déjà disponibles pour Copilot. Le problème ne se limitait donc pas à l’ouverture d’une page manipulée : le lien pouvait servir de vecteur à une instruction adressée à un assistant déjà connecté à plusieurs services.

Quelles données pouvaient être accessibles

Selon l’analyse, un prompt malveillant pouvait demander à Copilot d’effectuer des opérations sur les services accessibles depuis la session de l’utilisateur. Les ressources potentiellement concernées comprenaient notamment :

• Gmail ;
• Google Drive ;
• Google Calendar ;
• la mémoire persistante de Copilot ;
• l’historique des conversations.

L’attaquant aurait pu utiliser le système pour rechercher des informations, collecter des messages et des documents, consulter des rendez-vous ou effectuer des opérations de reconnaissance. Les données identifiées pouvaient ensuite être transférées vers l’extérieur par l’intermédiaire des fonctionnalités et des connexions disponibles pour l’assistant.

Le risque ne concernait pas uniquement la lecture des données. Un prompt pouvait également injecter du contenu dans la mémoire de Copilot, le rendant disponible lors d’interactions ultérieures. Ces informations manipulées pouvaient modifier les réponses futures, orienter les décisions du système ou influencer l’interprétation de demandes légitimes.

L’empoisonnement de la mémoire ajoute ainsi une dimension persistante à l’attaque. La compromission ne prend pas nécessairement fin avec une seule session : de fausses informations ou des instructions malveillantes peuvent rester dans le contexte utilisé par l’assistant.

La frontière entre comptes personnels et données professionnelles

Selon les déclarations de l’entreprise, Microsoft Copilot Enterprise n’est pas concerné. La vulnérabilité touchait Microsoft Copilot Personal.

Cette limite n’élimine toutefois pas le risque pour les organisations. Des comptes personnels peuvent contenir des données professionnelles ou être indirectement connectés à des ressources d’entreprise. Il peut s’agir, par exemple, d’e-mails professionnels transférés vers des comptes Gmail privés, de documents de travail stockés sur des Drive personnels ou d’identifiants conservés dans des comptes non gérés par l’entreprise.

Même un mot de passe dérobé sur un compte personnel peut devenir un point de départ vers d’autres environnements. L’impact dépend des connexions configurées et des privilèges disponibles, qui ne sont pas nécessairement visibles par l’organisation.

CoSnitch illustre ainsi un problème plus général des assistants IA ayant accès à de nombreuses sources d’information : le système peut disposer de privilèges élevés sans être capable de déterminer seul quelles instructions sont fiables et quels contenus sont malveillants. Une phrase intégrée à un prompt, une page ou une source connectée peut être interprétée à tort comme une commande.

Ce que doivent faire les utilisateurs et les administrateurs

Microsoft a déclaré que ses clients étaient déjà protégés et qu’aucune action spécifique n’était requise. Le correctif concerne CVE-2026-24301 ; les utilisateurs doivent néanmoins vérifier que Copilot Personal utilise bien une version à jour du service.

Sur le plan opérationnel, il est recommandé de :

• vérifier les connecteurs associés aux assistants IA ;
• limiter les permissions aux seules ressources nécessaires ;
• séparer les comptes personnels des données professionnelles ;
• éviter de transférer des e-mails professionnels vers des boîtes privées ;
• ne pas stocker de documents de travail ou d’identifiants sur des Drive personnels ;
• examiner la mémoire persistante des assistants et supprimer les contenus inattendus ;
• surveiller les accès anormaux à Gmail, Drive, Calendar et aux comptes Microsoft associés ;
• se méfier des liens qui ouvrent directement Copilot avec des paramètres inhabituels.

En cas d’activité suspecte, il est conseillé de vérifier l’historique des conversations, les autorisations accordées aux services connectés et les accès récents aux comptes. La présence de données inattendues dans la mémoire de Copilot peut indiquer une modification à examiner, sans toutefois constituer à elle seule la preuve d’une compromission.

Varonis n’a observé aucune exploitation in the wild. La combinaison de l’exécution automatique, de l’accès contextuel aux données, de la mémoire persistante et de la divulgation de l’architecture rend néanmoins ce cas particulièrement notable : un assistant peut devenir à la fois un outil de reconnaissance, un moteur opérationnel et une surface d’exfiltration.