Varonis Threat Labs heeft drie kwetsbaarheden in Microsoft Copilot Personal onthuld, waarvan wordt gezegd dat ze met een enkele klik op een vervaardigde link in stilte gegevens uit verbonden apps en andere informatie kunnen ophalen die beschikbaar is voor de Copilot-sessie van het slachtoffer.
De gebreken, die de onderzoekers gezamenlijk noemden CoSnaaischakel gedeeltelijk een ongedocumenteerde URL-parameter in die de assistent zelf tijdens het testen naar voren heeft gebracht.
Het bedrijf zei dat het het probleem in december 2025 aan Microsoft had gemeld en dat de patches op 18 augustus 2026 waren verzonden.
CoSnitch wordt gevolgd als CVE-2026-24301 in de Beveiligingsupdatehandleiding van Microsoft. Het onderzoek noemt Copilot Personal, de consumentenassistent die wordt gehost op copilot.microsoft.com, en stelt niet dat hetzelfde gedrag invloed had op Microsoft 365 Copilot.
De onderzoekers zeiden dat ze geen bewijs hadden gevonden dat CoSnitch in het wild werd uitgebuit. Ze bereikten deze parameter door Copilot herhaaldelijk te vragen waarom een prompt niet kon worden uitgevoerd zonder gebruikersinteractie, een aanpak die het bedrijf meta-hacking noemt. Elke weigering had een technische rechtvaardiging en de assistent noemde uiteindelijk een parameter, autorun=1, samen met de sessieomstandigheden waaronder deze werkte en de beveiligingen die deze zouden hebben uitgeschakeld.
Toen de onderzoekers de URL precies bouwden zoals beschreven, werd de parameter die Copilot had aangegeven niet meer uitgevoerd. Copilot “werd niet geschonden; het werd gespeeld”, zei Varonis in zijn rapport.
De aanvals-URL koppelt autorun=1 aan de bestaande q-parameter. In het CoSnitch-rapport zei Varonis dat q alleen het invoervak vooraf invult en dat beide parameters aanwezig moeten zijn voordat de prompt wordt geactiveerd zonder een gebruikersgebaar.
In het eerdere Reprompt-onderzoek werd q ook gebruikt als parameter-naar-prompt-toegangspunt bij een aanval met één klik. Varonis zei dat zodra de uitvoering van CoSnitch begint, de prompt wordt voltooid, zelfs als het slachtoffer het tabblad Copilot onmiddellijk sluit nadat de pagina is geladen.
Varonis groepeerde de bevindingen in drie kwetsbaarheden. De eerste twee vormen het exfiltratiepad met één klik, terwijl de derde een afzonderlijk geheugenvergiftigingspad is dat wordt geactiveerd door websamenvatting:
- Automatische prompte uitvoering. De twee parameters zorgen er samen voor dat een door de aanvaller aangeleverde prompt wordt uitgevoerd bij het laden van de pagina binnen de geverifieerde sessie van het slachtoffer, met dezelfde mogelijkheden als een instructie die de gebruiker heeft getypt.
- Exfiltratie via verbonden diensten. De geïnjecteerde prompt kan services opvragen die de gebruiker al heeft geautoriseerd, opgehaalde gegevens coderen en de ingebouwde URL-fetch van Copilot gebruiken om deze naar een door de aanvaller bestuurde webhook te sturen. De techniek verleent Copilot geen nieuwe providermachtigingen en breidt de bestaande toegang van de gebruiker niet uit.
- Persistent geheugen schrijft vanaf samengevatte pagina’s. Daarnaast kan een vervaardigde webpagina, wanneer deze wordt samengevat door Copilot, ervoor zorgen dat de assistent instructies voor de aanvaller in het geheugen van de gebruiker schrijft, waar deze latere sessies kan vormgeven.
Tijdens het testen zeiden de onderzoekers dat Copilot berichtteksten, onderwerpregels en metagegevens van afzender en ontvanger retourneerde van verbonden e-mailaccounts, agendatitels, deelnemers, tijden en locaties, bestandsnamen en metagegevensoverzichten van Google Drive, volledige eerdere gespreksinhoud uit de chatgeschiedenis en de opgeslagen instructies en door de gebruiker gedefinieerde regels in de geheugenopslag.
In de connectordocumentatie van Microsoft staat dat gebruikers services moeten autoriseren voordat Copilot er toegang toe kan krijgen, en dat verbonden services verzoeken verwerken met behulp van de bestaande machtigingen van de gebruiker. Microsoft zegt dat Copilot die toegang niet uitbreidt en alleen werkt met inhoud waarvoor het account al toestemming heeft om te bekijken.
Varonis zei dat het exfiltratieverzoek op de netwerklaag niet te onderscheiden is van de ophaalacties die Copilot uitvoert wanneer het een gewone webpagina samenvat, en dat base64-codering kan helpen voorkomen dat filters uitgaande verzoeken scannen op gevoelige patronen zoals inloggegevens.
Op het afzonderlijke geheugenpad zegt het bedrijf dat een geïnjecteerde instructie wachtwoordwijzigingen, sessie-intrekking en herinschrijving van apparaten overleeft, en actief blijft in latere gesprekken totdat de gebruiker deze uit de geheugeninstellingen van Copilot verwijdert.
Varonis zei ook dat het schrijven in het geheugen geen proces, bestand, netwerkverbinding of loginvoer oplevert die door beveiligingstools zou worden gemarkeerd, waarbij de verandering zichtbaar is in de geheugeninterface van Copilot.
Het websamenvattingspad is niet de eerste keer dat Copilot-geheugen aan Microsoft wordt gerapporteerd. Onderzoeker Håkon Måløy documenteerde een door een aanvaller bestuurde pagina die een onbedoelde herinnering vasthield toen een slachtoffer een Microsoft 365 Copilot-samenvattingsstroom gebruikte, die op 22 juni 2026 werd gepubliceerd na een coördinatieperiode van 90 dagen en de status van Microsoft registreerde als ‘wereldwijd verminderd’.
Johann Rehberger rapporteerde afzonderlijk geheugenschrijf- en -verwijderingen via indirecte promptinjectie in Microsoft 365 Copilot, evenals geheugenwijzigingen in de consumentenassistent, in onderzoek gerelateerd aan CVE-2026-24299.
Microsoft zette zijn eigen standpunt over dezelfde aanvalsklasse uiteen in een beveiligingsblogpost van 22 juni waarin MSRC-zaken van Rehberger, Måløy en Gal Zror werden vermeld. Het bedrijf is gericht op Microsoft 365 in plaats van op het consumentenproduct. Het bedrijf zegt dat herinneringen bij het schrijven opschoning- en prompt-injectiecontroles ondergaan, dat M365 Copilot is ontworpen om Task Adherence-controles uit te voeren op elke expliciete geheugenschrijfactie, en dat geheugenupdates worden vastgelegd in auditlogboeken van de organisatie en aan analisten worden getoond via een MemoryUpdated-veld in Defender Advanced Hunting en Sentinel.
Varonis adviseerde om te beoordelen welke apps met Copilot zijn verbonden en de apps die niet actief nodig zijn los te koppelen, de assistent te behandelen als een bevoorrechte insider voor toegangsbeoordeling en anomaliedetectie, en voorzichtig te zijn met links die AI-assistenten openen.
Het bedrijf heeft geen clientupdate geïdentificeerd die gebruikers moeten installeren. Varonis zei dat geïnjecteerde herinneringen blijven bestaan totdat ze expliciet worden verwijderd; in de openbaarmaking wordt niet vermeld of het herstel van Microsoft met terugwerkende kracht geheugenvermeldingen heeft verwijderd die vóór de oplossing waren gemaakt.
De onthulling komt minder dan twee weken nadat hetzelfde team RovoBlast heeft beschreven, een aanval met één klik op de Rovo-assistent van Atlassian die de rovoChatPrompt URL-parameter misbruikte om door de aanvaller bestuurde instructies in de sessie van een ingelogde gebruiker te plaatsen. Varonis zei dat Atlassian het probleem had opgelost voordat het openbaar werd gemaakt.
