CoSnitch, Copilot poteva eseguire prompt da un link e sottrarre dati personali

Una catena di vulnerabilità dentro Copilot Personal

Varonis Threat Labs ha individuato una catena di vulnerabilità in Microsoft Copilot Personal che poteva trasformare un semplice clic su un link in un’esecuzione automatica di comandi. L’attacco, denominato CoSnitch, combinava divulgazione di informazioni tecniche, prompt injection, avvelenamento persistente della memoria ed esfiltrazione di dati.

Microsoft ha distribuito le correzioni il 18 agosto 2026, dopo essere stata informata del problema nel dicembre 2025. Varonis ha dichiarato di non avere osservato segnali di sfruttamento reale.

La vulnerabilità è identificata come CVE-2026-24301 e ha ricevuto un punteggio CVSS 3.1 pari a 8.8, con il vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Il punteggio riflette una falla sfruttabile da remoto, senza privilegi preliminari, ma con la necessità che la vittima interagisca almeno cliccando un collegamento. Gli impatti potenziali riguardano riservatezza, integrità e disponibilità delle informazioni accessibili.

Il parametro nascosto che attivava il prompt

L’indagine è partita da una domanda apparentemente teorica: in quali condizioni Copilot avrebbe potuto eseguire un prompt senza un’interazione diretta dell’utente?

Le risposte del chatbot negavano che fosse possibile avviare un comando senza l’intenzione dell’utente, ma fornivano contemporaneamente dettagli sul funzionamento interno del sistema. Attraverso domande successive su URL, deep link, parametri di query e comportamento al caricamento di una pagina, i ricercatori hanno ricostruito elementi dell’architettura di Copilot.

Questa tecnica è stata definita da Varonis meta-hacking. L’assistente viene interrogato per ottenere informazioni sul proprio comportamento, sui meccanismi di gestione dei prompt e sulla struttura dei collegamenti. I dettagli raccolti possono poi servire a costruire un attacco più mirato.

Prima della correzione, il parametro non documentato ?autorun=1, combinato con un parametro contenente il prompt, poteva causare l’esecuzione automatica del comando all’apertura della pagina. La struttura del collegamento era simile a questa:

copilot.microsoft.com/?q=<malicious_prompt>&autorun=1

Il dominio restava quello legittimo di Copilot. La vittima doveva cliccare il link, ma non era richiesta un’ulteriore conferma per avviare il prompt incorporato.

Il comando veniva eseguito nella sessione autenticata della vittima, sfruttando i privilegi e le connessioni già disponibili a Copilot. Il problema, quindi, non consisteva soltanto nell’apertura di una pagina manipolata: il collegamento poteva agire come veicolo per un’istruzione impartita a un assistente già collegato a diversi servizi.

Quali dati potevano essere raggiunti

Secondo l’analisi, un prompt malevolo poteva ordinare a Copilot di svolgere attività sui servizi accessibili attraverso la sessione dell’utente. Tra le risorse potenzialmente coinvolte figuravano:

• Gmail;
• Google Drive;
• Google Calendar;
• la memoria persistente di Copilot;
• la cronologia delle conversazioni.

L’attaccante avrebbe potuto utilizzare il sistema per cercare informazioni, raccogliere messaggi e documenti, consultare appuntamenti o svolgere attività di ricognizione. I dati individuati potevano poi essere trasferiti all’esterno attraverso le funzionalità e i collegamenti disponibili all’assistente.

Il rischio non riguardava soltanto la lettura dei dati. Un prompt poteva anche introdurre contenuti nella memoria di Copilot, rendendoli disponibili nelle interazioni successive. Queste informazioni manipolate potevano alterare le risposte future, orientare le decisioni del sistema o influenzare l’interpretazione di richieste legittime.

L’avvelenamento della memoria aggiunge quindi una componente persistente all’attacco. La compromissione non si esaurisce necessariamente con una singola sessione: contenuti falsi o istruzioni malevole possono rimanere nel contesto utilizzato dall’assistente.

Il confine tra account personali e dati aziendali

Microsoft Copilot Enterprise non risulta coinvolto secondo quanto dichiarato dall’azienda. La vulnerabilità ha interessato Microsoft Copilot Personal.

Questo limite non elimina però il rischio per le organizzazioni. Gli account personali possono contenere dati di lavoro o avere collegamenti indiretti con risorse aziendali. Alcuni esempi sono le email corporate inoltrate a Gmail privati, i documenti di lavoro archiviati su Drive personali e le credenziali conservate in account non gestiti dall’azienda.

Anche una password sottratta da un account personale può diventare un punto di partenza per raggiungere altri ambienti. L’effetto dipende dai collegamenti configurati e dai privilegi disponibili, che non sono necessariamente visibili all’organizzazione.

CoSnitch mostra così un problema più generale degli assistenti AI con accesso a numerose fonti informative: il sistema può disporre di privilegi elevati, ma non comprendere autonomamente quali istruzioni siano affidabili e quali siano contenuti ostili. Una frase inserita in un prompt, in una pagina o in una fonte collegata può essere trattata in modo improprio come un comando.

Che cosa devono fare utenti e amministratori

Microsoft ha dichiarato che i clienti sono già protetti e che non è richiesta un’azione specifica. La correzione riguarda CVE-2026-24301 e gli utenti dovrebbero comunque verificare che Copilot Personal utilizzi la versione aggiornata del servizio.

Sul piano operativo, è opportuno:

• controllare i connettori associati agli assistenti AI;
• ridurre i permessi alle sole risorse necessarie;
• separare account personali e dati aziendali;
• evitare di inoltrare email corporate verso caselle private;
• non archiviare documenti di lavoro o credenziali su Drive personali;
• esaminare la memoria persistente degli assistenti e rimuovere contenuti inattesi;
• monitorare accessi anomali a Gmail, Drive, Calendar e agli account Microsoft collegati;
• prestare attenzione ai link che aprono direttamente Copilot con parametri insoliti.

In caso di attività sospette, è consigliabile controllare la cronologia delle conversazioni, le autorizzazioni concesse ai servizi collegati e gli accessi recenti agli account. La presenza di dati inattesi nella memoria di Copilot può indicare un’alterazione da verificare, anche se non costituisce da sola la prova di una compromissione.

Varonis non ha osservato sfruttamento in-the-wild. La combinazione di esecuzione automatica, accesso contestuale ai dati, memoria persistente e divulgazione dell’architettura rende comunque il caso rilevante: un assistente può diventare contemporaneamente strumento di ricognizione, motore operativo e superficie per l’esfiltrazione.