A Varonis Threat Labs revelou três vulnerabilidades no Microsoft Copilot Personal que, segundo a empresa, poderiam permitir que um único clique em um link especialmente criado extraísse, de forma silenciosa, dados de aplicativos conectados e outras informações disponíveis na sessão do Copilot da vítima.
As falhas, reunidas pelos pesquisadores sob o nome CoSnitch, dependem em parte de um parâmetro de URL não documentado que o próprio assistente expôs durante os testes.
A empresa informou ter relatado o problema à Microsoft em dezembro de 2025 e afirmou que os patches foram liberados em 18/08/2026.
O CoSnitch é acompanhado como
CVE-2026-24301
no guia de atualização de segurança da Microsoft. A pesquisa menciona o Copilot Personal, o assistente voltado ao consumidor hospedado em copilot.microsoft.com, e não afirma que o mesmo comportamento afetasse o Microsoft 365 Copilot.
Os pesquisadores disseram não ter encontrado evidências de exploração do CoSnitch em ambiente real. Eles chegaram ao parâmetro ao perguntar repetidamente ao Copilot por que um prompt não podia ser executado sem interação do usuário, em uma abordagem que a empresa chama de meta-hacking. Cada recusa vinha acompanhada de uma justificativa técnica, e o assistente acabou revelando um parâmetro, autorun=1, além das condições de sessão em que ele funcionava e das proteções que supostamente o desativariam.
Quando os pesquisadores montaram a URL exatamente como descrita, o parâmetro que o Copilot havia dito não funcionar mais acabou sendo executado. “O Copilot não foi invadido; ele foi manipulado”, afirmou a Varonis em seu relatório.
A URL do ataque combina autorun=1 com o parâmetro q, já existente. No relatório do CoSnitch, a Varonis afirmou que q sozinho apenas pré-preenche a caixa de entrada e que os dois parâmetros precisam estar presentes para que o prompt seja disparado sem ação do usuário.
A pesquisa anterior da empresa, chamada Reprompt, também usou q como ponto de entrada de Parameter-to-Prompt em um ataque de um clique. A Varonis disse que, uma vez iniciada a execução do CoSnitch, o prompt roda até o fim mesmo se a vítima fechar a aba do Copilot imediatamente após o carregamento da página.
A Varonis agrupou os achados em três vulnerabilidades. As duas primeiras formam o caminho de exfiltração com um clique, enquanto a terceira é um caminho separado de envenenamento de memória, disparado por meio da sumarização de páginas da web:
- Execução automática do prompt. Os dois parâmetros juntos fazem com que um prompt fornecido pelo atacante seja executado no carregamento da página dentro da sessão autenticada da vítima, com as mesmas capacidades de uma instrução digitada pelo próprio usuário.
- Exfiltração por meio de serviços conectados. O prompt injetado pode consultar serviços que o usuário já autorizou, codificar os dados recuperados e usar a função nativa do Copilot para buscar URL e enviá-los a um webhook controlado pelo atacante. A técnica não concede novas permissões ao Copilot nem amplia o acesso já existente do usuário.
- Gravações persistentes de memória a partir de páginas resumidas. De forma separada, uma página da web criada de forma maliciosa, quando resumida pelo Copilot, pode levar o assistente a gravar instruções do atacante no armazenamento de memória do usuário, onde elas podem influenciar sessões futuras.
Nos testes, os pesquisadores disseram que o Copilot retornou corpos de mensagens, linhas de assunto e metadados de remetente e destinatário de contas de e-mail conectadas, títulos de calendários, participantes, horários e locais, nomes de arquivos e resumos de metadados do Google Drive, conteúdo completo de conversas anteriores no histórico de chat e as instruções salvas e regras definidas pelo usuário mantidas no armazenamento de memória.
A documentação dos conectores da Microsoft afirma que os usuários precisam autorizar os serviços antes que o Copilot possa acessá-los e que os serviços conectados processam as solicitações usando as permissões já existentes do usuário. A Microsoft diz que o Copilot não amplia esse acesso e opera apenas com conteúdo que a conta já tem permissão para visualizar.
A Varonis afirmou que a solicitação de exfiltração é indistinguível, na camada de rede, das buscas que o Copilot faz ao resumir uma página comum da web, e que a codificação base64 pode ajudar a evitar filtros que inspecionam requisições de saída em busca de padrões sensíveis, como credenciais.
No caminho separado de memória, a empresa disse que uma instrução injetada sobrevive a mudanças de senha, revogação de sessão e novo registro do dispositivo, permanecendo ativa em conversas posteriores até que o usuário a exclua nas configurações de memória do Copilot.
A Varonis também afirmou que a gravação na memória não gera processo, arquivo, conexão de rede ou entrada de log que as ferramentas de segurança considerariam suspeitos, e que a alteração só aparece na interface de memória do Copilot.
O caminho de sumarização da web não é a primeira vez que a memória do Copilot é reportada à Microsoft. O pesquisador Håkon Måløy documentou uma página sob controle do atacante que persistia uma memória indevida quando a vítima usava um fluxo de sumarização do Microsoft 365 Copilot, publicando o caso em 22/06/2026, após um período de coordenação de 90 dias, e registrando o status do lado da Microsoft como “mitigado globalmente”.
Johann Rehberger também relatou gravações e exclusões de memória por meio de injeção indireta de prompt no Microsoft 365 Copilot, assim como modificação de memória no assistente para consumidores, em uma pesquisa associada ao
CVE-2026-24299
.
A Microsoft apresentou sua própria posição sobre essa mesma classe de ataque em um post de segurança publicado em 22/06, que creditou casos no MSRC de Rehberger, Måløy e Gal Zror. Limitada ao Microsoft 365, e não ao produto para consumidores, a empresa disse que as memórias passam por sanitização e verificações contra injeção de prompt no momento da gravação, que o M365 Copilot foi projetado para executar verificações de cumprimento de tarefa em cada gravação explícita de memória e que as atualizações de memória são registradas em logs de auditoria organizacionais e expostas a analistas por meio do campo MemoryUpdated no Defender Advanced Hunting e no Sentinel.
A Varonis recomendou revisar quais aplicativos estão conectados ao Copilot e desconectar aqueles que não sejam realmente necessários, tratar o assistente como um usuário interno privilegiado para fins de revisão de acesso e detecção de anomalias e redobrar a atenção com links que abrem assistentes de IA.
A empresa não identificou uma atualização de cliente que os usuários precisem instalar. Segundo a Varonis, memórias injetadas permanecem até serem removidas manualmente, e a divulgação não informa se a correção da Microsoft apagou retroativamente entradas criadas antes do reparo.
A divulgação ocorre menos de duas semanas depois de a mesma equipe detalhar o RovoBlast, um ataque de um clique ao assistente Rovo, da Atlassian, que abusava do parâmetro de URL rovoChatPrompt para inserir instruções controladas pelo atacante na sessão de um usuário autenticado. A Varonis afirmou que a Atlassian corrigiu o problema antes da divulgação pública.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...