CoSnitch——Copilot Personal が意図せぬ（そして危険な）内部告発者に変わるとき

一見なんの変哲もないリンクをクリックしたら、その裏で AI アシスタントがあなたのメール、予定の詳細、Google Drive 上のファイル名を外部へ送り出していた——そんな場面を想像してほしい。SF ではない。CoSnitch と呼ばれる脆弱性チェーンの話だ。Varonis Threat Labs が Microsoft Copilot Personal（コンシューマー／Web 版）で発見し、Microsoft が報告から 8 か月後の 2026 年 8 月 18 日にようやく修正した。Varonis は、修正前に実際の攻撃で悪用された証拠は見つかっていないとしている。つまりここで語られるのは、このチェーンが可能にしていた事態であって、記録された被害ではない。CVE-2026-24301 はコマンドインジェクションに分類され、CVSS スコアは 8.8（HIGH）。三つの欠陥が連鎖する。未文書化の URL パラメータ（`q` と `autorun=1`）によるプロンプトの自動実行、OAuth コネクタ経由で到達できるデータの静かな持ち出し、そして Copilot のメモリーへの持続的な汚染だ。しかも認証情報の窃取も、悪意ある添付ファイルも不要で、監視する側に異常な兆候を一切残さない。Varonis はこうまとめている——「CoSnitch is three vulnerabilities, one click, and zero anomalous signals（CoSnitch は三つの脆弱性、一回のクリック、そして異常信号ゼロだ）」。

問題は技術面だけではなく、設計思想にある。メール、カレンダー、クラウドストレージにつながった AI アシスタントは、セキュリティの境界線そのものを動かす。もはやアカウントを破る必要はない。データを読んで送る権限をすでに持っている、とアシスタントに信じ込ませればいい。CoSnitch はその極端な例だ。Varonis は、有効なコネクタ経由で到達できるデータ——メール、Google Drive、Google Calendar——に加え、会話履歴と Copilot のメモリーが露出したとしている。The Hacker News の整理によれば、メッセージの本文と件名、送信者・受信者のメタデータ、カレンダー予定の詳細と参加者、ファイル名とファイルのメタデータが含まれる。研究者が未文書化パラメータを突き止めた手口も興味深い。コードを解析するのではなく、「なぜプロンプトの自動実行は不可能なのか」と Copilot に繰り返し尋ね、その回答から仕組みを組み立てたのだ。The Hacker News が引く Varonis のコメントはこうだ——「Copilot wasn't breached; it was played（Copilot は破られたのではない、手玉に取られたのだ）」。

修正までの経緯には引っかかる点がある。Varonis は 2025 年 12 月に Microsoft へ報告したとしており、Computerworld は 12 月 31 日と特定している。完全な修正が届いたのは 2026 年 8 月だ。Computerworld は、自動実行について 2026 年 2 月に部分的な修正が行われ、8 月に最終的な封じ込めがなされたと伝えている。同紙が伝える声明で Microsoft は、顧客はすでに保護されており対応の必要はないと述べている——「Our customers are already protected and do not need to take any action. We continuously update our guardrails to strengthen protections against similar techniques（お客様はすでに保護されており、何らかの対応を取る必要はありません。当社は同種の手法に対する防御を強化するため、ガードレールを継続的に更新しています）」。それでも不明点は残る。修正になぜ 8 か月かかったのかは説明されておらず、Microsoft はパッチの技術的詳細も公開していない。さらに、CoSnitch に紐づく CVE の範囲と深刻度の評価でも情報源は食い違っている（NVD は HIGH、報道と Microsoft は「重大」）。最後に、実攻撃での悪用が確認されていないという点も、同社の観測に基づく主張であって、独立した検証ではない。

実務上の推奨は今も重要だ。連携アプリの権限を見直すこと、アクセス権の棚卸しで Copilot を特権システムとして扱うこと、そして AI アシスタントを直接開くリンクを警戒すること。CoSnitch は単なる脆弱性ではなく、リマインダーでもある。すべてにアクセスできるアシスタントは、クリック一回で情報流出の経路に変わる。そして持続的メモリーは「持続時間」という別の問題を加える——そこに書き込まれた悪意ある指示は、セッションが終わっても残るのだ。問いはこうなる。設計上これほど簡単に「手玉に取られる」システムを、私たちはどこまで信頼するつもりなのか。