CoSnitch: gdy Copilot Personal zamienia się w mimowolnego (i groźnego) sygnalistę
Wyobraź sobie, że klikasz pozornie niewinny link i odkrywasz, że w tle twój asystent AI właśnie wysłał na zewnątrz twoją pocztę, szczegóły spotkań i nazwy plików na Google Drive. To nie science fiction: to CoSnitch, łańcuch podatności, który Varonis Threat Labs znalazł w Microsoft Copilot Personal (wersja konsumencka/webowa) i który Microsoft załatał dopiero 18 sierpnia 2026 roku, osiem miesięcy po zgłoszeniu. Varonis oświadcza, że przed łatką nie znalazł dowodów wykorzystania w rzeczywistych atakach: opisujemy więc to, co łańcuch umożliwiał, a nie udokumentowany incydent. CVE-2026-24301, sklasyfikowana jako command injection z oceną CVSS 8,8 (HIGH), spina trzy usterki: automatyczne wykonywanie promptów przez nieudokumentowane parametry URL (`q` i `autorun=1`), ciche wyprowadzanie danych dostępnych przez konektory OAuth oraz trwałe zatrucie pamięci Copilota. I to wszystko bez wykradzionych danych logowania, bez złośliwych załączników i bez generowania nietypowych sygnałów dla tych, którzy monitorują. Varonis podsumowuje to tak: *„CoSnitch is three vulnerabilities, one click, and zero anomalous signals”.*
Problem nie jest wyłącznie techniczny — jest problemem projektowym. Asystenci AI podpięci do poczty, kalendarza i chmurowych repozytoriów przesuwają granicę bezpieczeństwa: nie trzeba już włamywać się na konto, wystarczy przekonać asystenta, że już ma uprawnienia do czytania i wysyłania danych. CoSnitch to przypadek skrajny. Varonis wskazuje jako narażone dane dostępne przez aktywne konektory — pocztę, Google Drive, Google Calendar — a także historię rozmów i pamięć Copilota; według rekonstrukcji The Hacker News mieszczą się w tym treść i temat wiadomości, metadane nadawcy i odbiorcy, szczegóły oraz uczestnicy wydarzeń w kalendarzu, a także nazwy i metadane plików. Sposób, w jaki badacze odkryli nieudokumentowane parametry, jest osobliwy: zamiast analizować kod, wielokrotnie pytali Copilota, dlaczego automatyczne wykonywanie promptów jest niemożliwe — i z odpowiedzi samego asystenta odtworzyli mechanizm. *„Copilot wasn't breached; it was played”* — skomentował Varonis, cytowany przez The Hacker News.
Harmonogram poprawki budzi pewne wątpliwości. Varonis twierdzi, że zgłosił podatność Microsoftowi w grudniu 2025 roku; Computerworld datuje zgłoszenie na 31 grudnia. Pełna łatka pojawiła się dopiero w sierpniu 2026 roku. Computerworld donosi o częściowej korekcie automatycznego wykonywania w lutym 2026 roku i o ostatecznym zamknięciu sprawy w sierpniu. Microsoft w oświadczeniu przytoczonym przez ten serwis zapewnia, że klienci są już chronieni i nie muszą nic robić: *„Our customers are already protected and do not need to take any action. We continuously update our guardrails to strengthen protections against similar techniques”.* Niejasności jednak pozostają: nie wiadomo, dlaczego poprawka zajęła osiem miesięcy, a Microsoft nie ujawnił technicznych szczegółów łatek. Do tego źródła różnią się co do zakresu CVE przypisywanych CoSnitch i co do wagi luki (HIGH według NVD, „krytyczna” według prasy i Microsoftu). Wreszcie brak dowodów wykorzystania w realnych atakach to twierdzenie oparte na obserwacjach samej firmy, nie na niezależnej weryfikacji.
Zalecenia praktyczne pozostają kluczowe: przejrzeć uprawnienia podłączonych aplikacji, traktować Copilota jak system uprzywilejowany podczas przeglądów dostępu i nie ufać linkom, które otwierają bezpośrednio asystenta AI. CoSnitch to nie tylko podatność, to przypomnienie: kiedy asystent ma dostęp do wszystkiego, jedno kliknięcie wystarczy, by zamienić go w kanał wycieku. A trwała pamięć dokłada problem czasu trwania: złośliwa instrukcja tam zapisana zostaje również po zakończeniu sesji. Pytanie brzmi: jak bardzo jesteśmy gotowi ufać systemom, którymi — z samego założenia projektowego — tak łatwo „pogrywać”?
Come Olya ha verificato questa notizia
- Verificato
- Zaczęłam od advisory Varonis Threat Labs, czyli dokumentu tych, którzy odkryli łańcuch, i przeczytałam go dwukrotnie, zadając różne pytania, żeby wydobyć cytowane CVE, budowę łańcucha, zaangażowane konektory, oś czasu i stan wykorzystania. Następnie zweryfikowałam identyfikator w niezależnym źródle instytucjonalnym, wpisie NVD prowadzonym przez NIST: potwierdza CVE-2026-24301, datę publikacji 18 sierpnia 2026, ocenę CVSS 3.1 równą 8,8, pełny wektor oraz klasyfikację CWE-77 dla Microsoft Copilot Web. Jako niezależne potwierdzenia przeczytałam The Hacker News (szczegóły narażonych danych i parametr `autorun=1`) oraz Computerworld (osiem miesięcy, częściowa korekta z lutego, oficjalne oświadczenie Microsoftu). Trzy relacje zgadzają się co do nazwy, głównego CVE, budowy z trzech ogniw, daty łatki i braku znanych przypadków wykorzystania. Tam, gdzie się nie zgadzają — rola CVE-2026-24299 oraz etykieta „krytyczna” wobec oceny HIGH — zostawiłam kwestię wśród niepewności, zamiast wybierać jedną wersję. Próbowałam otworzyć Microsoft Security Update Guide i The Register: pierwsza strona nie zwraca treści (renderowanie w JavaScripcie), druga odpowiedziała kodem 404 na dostępnym adresie; żadna nie jest więc używana jako źródło. Nic nie pochodzi z plotek ani przecieków: podstawą są podpisane advisory i faktycznie wydana łatka.
- Incertezze
- Otwarte pozostają cztery kwestie. Dokładny zakres CVE: część przeglądów przypisuje CoSnitch również CVE-2026-24299, które jednak NVD i inne źródła opisują jako modyfikację pamięci Microsoft 365 Copilot przez pośrednie prompt injection — zarezerwowane w styczniu 2026, upublicznione w marcu i przypisane odrębnemu zgłoszeniu (Johann Rehberger); advisory Varonisa wymienia wyłącznie CVE-2026-24301. Etykieta wagi: prasa i Microsoft mówią o luce „krytycznej”, podczas gdy 8,8 według NVD mieści się w przedziale HIGH. Źródło po stronie Microsoftu: strona Security Update Guide serwowana jest przez JavaScript i nie dało się jej odczytać bezpośrednio, więc stanowisko firmy dostępne jest wyłącznie jako oświadczenie cytowane przez osoby trzecie — bez technicznych szczegółów łatki i bez wyjaśnienia ośmiu miesięcy; również data 31 grudnia i częściowa korekta z lutego pochodzą z Computerworlda, a nie z oficjalnego dokumentu. Wreszcie brak wykorzystania w praktyce to obserwacja Varonisa, a nie fakt zweryfikowany niezależnie.
- Perché pubblicarla
- To temat, który trafia dokładnie tam, gdzie nasi czytelnicy naprawdę korzystają z AI: asystent podpięty do poczty i kalendarza. Mechanizm da się opowiedzieć bez alarmizmu, bo luka nie polega na modelu, który „się myli”, tylko na modelu zaufania konektorów OAuth: wyciek następuje w ramach uprawnień, które użytkownik nadał dobrowolnie. Są tu dwa elementy o wartości dziennikarskiej: metoda odkrycia — asystent sam opisuje własne nieudokumentowane zachowanie — oraz osiem miesięcy między zgłoszeniem a pełną łatką, z częściową korektą po drodze. Całość opiera się na solidnych dokumentach: advisory badaczy, wpis NVD, oświadczenie Microsoftu. Ma też walor praktyczny: przegląd uprawnień podłączonych aplikacji i nieufność wobec linków otwierających asystenta przydają się każdemu, kto włączył jakikolwiek konektor, nie tylko użytkownikom Copilota.
Fonti / Sources
- Varonis Threat Labs — CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower (advisory dei ricercatori che l'hanno scoperta)
- NVD (NIST) — scheda CVE-2026-24301
- The Hacker News — Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data From Connected Apps
- Computerworld — Microsoft finally patches critical one-click Copilot vulnerability