Varonis Threat Labs ha divulgado tres vulnerabilidades en Microsoft Copilot Personal que, según la firma de seguridad, podrían permitir que un solo clic en un enlace manipulado extraiga silenciosamente datos de aplicaciones conectadas y otra información disponible en la sesión de Copilot de la víctima.
Los fallos, que los investigadores agrupan bajo el nombre de CoSnitch, se basan en parte en un parámetro URL no documentado que el propio asistente de IA reveló durante las pruebas. Varonis informó a Microsoft en diciembre de 2025 y la compañía lanzó parches el 18 de agosto de 2026.
CoSnitch está registrado como CVE-2026-24301 en la Guía de Actualizaciones de Seguridad de Microsoft. La investigación se centra en Copilot Personal, el asistente de consumo alojado en copilot.microsoft.com, y no confirma si el mismo comportamiento afectó a Microsoft 365 Copilot.
Los investigadores no encontraron pruebas de que CoSnitch haya sido explotado en entornos reales. Obtuvieron el parámetro preguntando repetidamente a Copilot por qué no se podía ejecutar un prompt sin interacción del usuario, un enfoque que denominan 'meta-hacking'. Cada negativa incluía una justificación técnica, y el asistente finalmente reveló un parámetro llamado 'autorun=1', junto con las condiciones de sesión bajo las que funcionaba y las protecciones que supuestamente deberían haberlo deshabilitado.
Cuando los investigadores construyeron la URL exactamente como describió Copilot, el parámetro que el asistente decía que ya no funcionaba se ejecutó. Varonis señala que Copilot 'no fue vulnerado, sino manipulado'.
La URL de ataque combina 'autorun=1' con el parámetro existente 'q'. Según el informe, 'q' solo rellena previamente el cuadro de entrada; ambos parámetros deben estar presentes para que el prompt se ejecute sin gesto del usuario. Investigaciones anteriores de Varonis, como 'Reprompt', ya usaban 'q' como punto de entrada en ataques de un clic. Una vez que la ejecución comienza, el prompt se completa incluso si la víctima cierra la pestaña de Copilot inmediatamente después de cargar la página.
Vulnerabilidades identificadas
- Ejecución automática de prompts: los dos parámetros juntos provocan que un prompt suministrado por el atacante se ejecute al cargar la página dentro de la sesión autenticada de la víctima, con las mismas capacidades que una instrucción escrita por el usuario.
- Exfiltración a través de servicios conectados: el prompt inyectado puede consultar servicios ya autorizados por el usuario, codificar los datos obtenidos y usar la función de extracción de URL de Copilot para enviarlos a un webhook controlado por el atacante. Esta técnica no otorga nuevos permisos a Copilot ni amplía el acceso existente del usuario.
- Escrituras de memoria persistentes desde páginas resumidas: por separado, una página web manipulada, al ser resumida por Copilot, puede hacer que el asistente escriba instrucciones del atacante en el almacén de memoria del usuario, donde pueden influir en sesiones posteriores.
En las pruebas, los investigadores observaron que Copilot devolvía cuerpos de correos electrónicos, líneas de asunto, metadatos de remitentes y destinatarios de cuentas de correo conectadas, títulos de calendario, asistentes, horas y ubicaciones, nombres de archivo y resúmenes de metadatos de Google Drive, contenido completo de conversaciones anteriores del historial de chat, y las instrucciones guardadas y reglas definidas por el usuario en el almacén de memoria.
La documentación de conectores de Microsoft exige que los usuarios autoricen los servicios antes de que Copilot pueda acceder a ellos, y que los servicios conectados procesen las solicitudes con los permisos existentes del usuario. Microsoft afirma que Copilot no amplía ese acceso y solo trabaja con contenido que la cuenta ya tiene permiso para ver.
Varonis indica que la solicitud de exfiltración es indistinguible en la capa de red de las funciones normales que Copilot realiza al resumir una página web, y que el uso de codificación base64 puede ayudar a evitar filtros que escanean solicitudes salientes en busca de patrones sensibles como credenciales.
En cuanto a la ruta de memoria separada, la firma afirma que una instrucción inyectada sobrevive a cambios de contraseña, revocación de sesiones y re-registro del dispositivo, y permanece activa en conversaciones posteriores hasta que el usuario la elimina desde la configuración de memoria de Copilot.
La escritura de memoria no produce procesos, archivos, conexiones de red ni entradas de registro que las herramientas de seguridad puedan detectar; el cambio solo se nota en la interfaz de memoria de Copilot.
La vía de resumen web no es la primera vez que se reportan problemas de memoria en Copilot. El investigador Håkon Måløy documentó una página controlada por atacantes que persistía una memoria no deseada cuando una víctima usaba el flujo de resumen de Microsoft 365 Copilot. Publicó su hallazgo el 22 de junio de 2026, tras un período de coordinación de 90 días, indicando que el estado del lado de Microsoft era 'mitigado globalmente'.
Johann Rehberger reportó por separado escrituras y borrados de memoria mediante inyección indirecta de prompts en Microsoft 365 Copilot, así como modificación de memoria en el asistente de consumo, en una investigación asociada a CVE-2026-24299.
Microsoft fijó su posición sobre la misma clase de ataques en una publicación de blog del 22 de junio, que atribuye casos MSRC a Rehberger, Måløy y Gal Zror. Enfocada en Microsoft 365, la empresa dijo que las memorias pasan por saneamiento y comprobaciones de inyección de prompts en la escritura, que M365 Copilot está diseñado para realizar comprobaciones de adherencia a tareas en cada escritura explícita de memoria, y que las actualizaciones de memoria se registran en los registros de auditoría de la organización y se muestran a los analistas a través de un campo 'MemoryUpdated' en Defender Advanced Hunting y Sentinel.
Varonis aconseja revisar qué aplicaciones están conectadas a Copilot y desconectar las que no se necesiten activamente, tratar al asistente como un insider privilegiado para revisión de accesos y detección de anomalías, y tener precaución con enlaces que abran asistentes de IA.
La compañía no identificó una actualización de cliente que los usuarios necesiten instalar. Varonis afirma que las memorias inyectadas persisten hasta que se eliminan explícitamente; su divulgación no especifica si la corrección de Microsoft eliminó retroactivamente las memorias creadas antes del parche.
La divulgación llega menos de dos semanas después de que el mismo equipo detallara RovoBlast, un ataque de un clic contra el asistente Rovo de Atlassian que abusaba del parámetro URL 'rovoChatPrompt' para sembrar instrucciones controladas por atacantes en la sesión de un usuario autenticado. Varonis dijo que Atlassian corrigió el problema antes de la divulgación pública.
Deja una respuesta