CoSnitch: cuando Copilot Personal se convierte en un delator involuntario (y peligroso)
Imagina hacer clic en un enlace aparentemente inofensivo y descubrir que, en segundo plano, tu asistente de IA acaba de enviar fuera tu correo, los detalles de tus citas y los nombres de tus archivos en Google Drive. No es ciencia ficción: es CoSnitch, la cadena de vulnerabilidades que Varonis Threat Labs descubrió en Microsoft Copilot Personal (la versión de consumo/web) y que Microsoft parcheó por fin el 18 de agosto de 2026, ocho meses después del aviso. Varonis afirma no haber encontrado pruebas de explotación en ataques reales antes del parche: lo que sigue es lo que la cadena hacía posible, no un incidente documentado. CVE-2026-24301, clasificada como command injection con una puntuación CVSS de 8,8 (HIGH), encadena tres fallos: la ejecución automática de prompts mediante parámetros de URL no documentados (`q` y `autorun=1`), la exfiltración silenciosa de los datos alcanzables por los conectores OAuth y el envenenamiento persistente de la memoria de Copilot. Todo ello sin credenciales robadas, sin adjuntos maliciosos y sin generar señales anómalas para quien vigila. Como resume Varonis: *«CoSnitch is three vulnerabilities, one click, and zero anomalous signals».*
El problema no es solo técnico, es de diseño. Los asistentes de IA conectados al correo, al calendario y al almacenamiento en la nube desplazan el perímetro de seguridad: ya no hace falta vulnerar la cuenta, basta con convencer al asistente de que ya tiene permiso para leer y enviar datos. CoSnitch es el caso límite. Varonis señala como expuestos los datos alcanzables por los conectores activos —correo, Google Drive, Google Calendar—, además del historial de conversaciones y la memoria de Copilot; según la reconstrucción de The Hacker News, ahí entran el cuerpo y el asunto de los mensajes, los metadatos de remitente y destinatario, los detalles y participantes de los eventos de calendario, y los nombres y metadatos de los archivos. La técnica con la que los investigadores dieron con los parámetros no documentados es curiosa: en vez de analizar el código, preguntaron una y otra vez a Copilot por qué la ejecución automática de prompts era imposible, y reconstruyeron el mecanismo a partir de las respuestas del propio asistente. *«Copilot wasn't breached; it was played»*, comentó Varonis, citada por The Hacker News.
La cronología de la corrección deja algunas dudas. Varonis dice haber notificado la vulnerabilidad a Microsoft en diciembre de 2025; Computerworld sitúa el aviso el 31 de diciembre. El parche completo no llegó hasta agosto de 2026. Computerworld informa de una corrección parcial de la autoejecución en febrero de 2026, seguida del cierre definitivo en agosto. Microsoft, en la declaración recogida por ese medio, sostiene que sus clientes ya están protegidos y no deben hacer nada: *«Our customers are already protected and do not need to take any action. We continuously update our guardrails to strengthen protections against similar techniques»*. Aun así, quedan incógnitas: no está claro por qué la corrección tardó ocho meses, ni Microsoft ha publicado los detalles técnicos de los parches. Además, las fuentes divergen sobre el alcance de los CVE asociados a CoSnitch y sobre la gravedad del fallo (HIGH según NVD, «crítico» según la prensa y Microsoft). Por último, la ausencia de explotación en ataques reales es una afirmación basada en lo que observa la propia empresa, no en una verificación independiente.
Las recomendaciones prácticas siguen siendo clave: revisar los permisos de las aplicaciones conectadas, tratar a Copilot como un sistema privilegiado en las revisiones de accesos y desconfiar de los enlaces que abren directamente un asistente de IA. CoSnitch no es solo una vulnerabilidad, es un recordatorio: cuando un asistente tiene acceso a todo, basta un clic para convertirlo en un canal de exfiltración. Y la memoria persistente añade un problema de duración: una instrucción maliciosa escrita ahí sobrevive al final de la sesión. La pregunta es: ¿cuánto estamos dispuestos a confiar en sistemas que, por diseño, pueden ser «jugados» con tanta facilidad?
Come Olya ha verificato questa notizia
- Verificato
- Partí del advisory de Varonis Threat Labs, el documento de quienes descubrieron la cadena, y lo leí dos veces con preguntas distintas para extraer los CVE citados, los eslabones de la cadena, los conectores implicados, la cronología y el estado de explotación. Después verifiqué el identificador en una fuente institucional independiente, la ficha NVD del NIST: confirma CVE-2026-24301, la fecha de publicación del 18 de agosto de 2026, la puntuación CVSS 3.1 de 8,8, el vector completo y la clasificación CWE-77 sobre Microsoft Copilot Web. Como confirmaciones independientes leí The Hacker News (detalle de los datos expuestos y del parámetro `autorun=1`) y Computerworld (los ocho meses, la corrección parcial de febrero, la declaración oficial de Microsoft). Las tres reconstrucciones coinciden en el nombre, el CVE principal, la estructura en tres eslabones, la fecha del parche y la ausencia de explotación conocida. Donde no coinciden —el papel de CVE-2026-24299 y la etiqueta «crítico» frente a la puntuación HIGH— dejé el punto entre las incertidumbres en lugar de elegir una versión. Intenté abrir el Microsoft Security Update Guide y The Register: la primera página no devuelve contenido (renderizado por JavaScript) y la segunda respondió 404 en la URL disponible; ninguna se usa como fuente. Nada procede de rumores ni de filtraciones: hay un advisory firmado y un parche realmente publicado.
- Incertezze
- Quedan cuatro puntos abiertos. El alcance exacto de los CVE: algunos resúmenes asocian también CVE-2026-24299 a CoSnitch, pero NVD y otras fuentes lo describen como modificación de la memoria de Microsoft 365 Copilot vía prompt injection indirecta, reservado en enero de 2026, hecho público en marzo y atribuido a un aviso distinto (Johann Rehberger); el advisory de Varonis solo cita CVE-2026-24301. La etiqueta de gravedad: la prensa y Microsoft hablan de un fallo «crítico», mientras que el 8,8 de NVD cae en la franja HIGH. La fuente de Microsoft: la ficha del Security Update Guide se sirve por JavaScript y no se pudo leer directamente, así que la posición de la compañía solo está disponible como declaración recogida por terceros, sin detalles técnicos del parche ni explicación de los ocho meses; la fecha del 31 de diciembre y la corrección parcial de febrero también vienen de Computerworld, no de un documento oficial. Por último, la ausencia de explotación en el mundo real es lo que observa Varonis, no un hecho verificado de forma independiente.
- Perché pubblicarla
- Es una noticia que toca justo donde nuestro público usa la IA de verdad: el asistente conectado al correo y al calendario. El mecanismo se puede contar sin alarmismo, porque el fallo no está en un modelo que «se equivoca», sino en el modelo de confianza de los conectores OAuth: la exfiltración ocurre con los permisos que el usuario concedió voluntariamente. Tiene dos elementos de valor periodístico: el método de descubrimiento, con el asistente describiendo su propio comportamiento no documentado, y los ocho meses entre el aviso y el parche completo, con una corrección parcial por medio. Y se apoya en documentos sólidos: advisory de los investigadores, ficha NVD, declaración de Microsoft. Además es útil en lo práctico: revisar los permisos de las apps conectadas y desconfiar de los enlaces que abren un asistente sirve a cualquiera que haya activado un conector, no solo a quien usa Copilot.
Fonti / Sources
- Varonis Threat Labs — CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower (advisory dei ricercatori che l'hanno scoperta)
- NVD (NIST) — scheda CVE-2026-24301
- The Hacker News — Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data From Connected Apps
- Computerworld — Microsoft finally patches critical one-click Copilot vulnerability