CoSnitch: когда Copilot Personal превращается в невольного (и опасного) информатора
Представьте: вы нажимаете на безобидную с виду ссылку и обнаруживаете, что в фоновом режиме ваш ИИ-ассистент только что отправил наружу вашу почту, детали встреч и имена файлов на Google Drive. Это не фантастика — это CoSnitch, цепочка уязвимостей, которую Varonis Threat Labs обнаружила в Microsoft Copilot Personal (потребительская/веб-версия) и которую Microsoft закрыла лишь 18 августа 2026 года, через восемь месяцев после сообщения. Varonis заявляет, что до выхода патча не нашла доказательств эксплуатации в реальных атаках: речь идёт о том, что цепочка делала возможным, а не о задокументированном инциденте. CVE-2026-24301 классифицирована как command injection с оценкой CVSS 8,8 (HIGH) и связывает три изъяна: автоматическое выполнение промптов через недокументированные параметры URL (`q` и `autorun=1`), тихую утечку данных, доступных через OAuth-коннекторы, и устойчивое отравление памяти Copilot. И всё это без украденных учётных данных, без вредоносных вложений и без единого аномального сигнала для тех, кто ведёт мониторинг. Varonis формулирует это так: *«CoSnitch is three vulnerabilities, one click, and zero anomalous signals»* («CoSnitch — это три уязвимости, один клик и ноль аномальных сигналов»).
Проблема не только техническая — она заложена в самой архитектуре. ИИ-ассистенты, подключённые к почте, календарю и облачным хранилищам, сдвигают периметр безопасности: взламывать аккаунт больше не нужно, достаточно убедить ассистента, что у него уже есть права читать и отправлять данные. CoSnitch — предельный случай. Varonis относит к уязвимым данные, доступные через активные коннекторы — почту, Google Drive, Google Calendar, — а также историю переписки и память Copilot; по реконструкции The Hacker News, сюда входят тело и тема сообщений, метаданные отправителя и получателя, детали и участники календарных событий, имена и метаданные файлов. Способ, которым исследователи нашли недокументированные параметры, любопытен: вместо анализа кода они раз за разом спрашивали Copilot, почему автоматическое выполнение промптов невозможно, и по ответам самого ассистента восстановили механизм. *«Copilot wasn't breached; it was played»* («Copilot не взломали — его переиграли»), — прокомментировала Varonis в цитате The Hacker News.
Хронология исправления вызывает вопросы. Varonis утверждает, что сообщила об уязвимости Microsoft в декабре 2025 года; Computerworld датирует сообщение 31 декабря. Полный патч вышел только в августе 2026-го. Computerworld пишет о частичном исправлении автозапуска в феврале 2026 года и об окончательном закрытии в августе. Microsoft в заявлении, приведённом изданием, утверждает, что клиенты уже защищены и им ничего делать не нужно: *«Our customers are already protected and do not need to take any action. We continuously update our guardrails to strengthen protections against similar techniques»* («Наши клиенты уже защищены и не должны предпринимать никаких действий. Мы постоянно обновляем защитные механизмы, укрепляя их против подобных техник»). Тем не менее неопределённость остаётся: почему исправление заняло восемь месяцев, не объяснено, а технические подробности патчей Microsoft не опубликовала. Кроме того, источники расходятся в том, какие именно CVE относятся к CoSnitch, и в оценке серьёзности бреши (HIGH по данным NVD, «критическая» по версии прессы и Microsoft). Наконец, отсутствие эксплуатации в реальных атаках — это утверждение, основанное на наблюдениях самой компании, а не результат независимой проверки.
Практические рекомендации по-прежнему важны: пересмотреть разрешения подключённых приложений, рассматривать Copilot как привилегированную систему при аудите доступов и с недоверием относиться к ссылкам, которые сразу открывают ИИ-ассистента. CoSnitch — не просто уязвимость, а напоминание: когда у ассистента есть доступ ко всему, одного клика достаточно, чтобы превратить его в канал утечки. А постоянная память добавляет проблему длительности: вредоносная инструкция, записанная туда, остаётся и после завершения сессии. Вопрос в другом: насколько мы готовы доверять системам, которые по самому своему устройству так легко «переиграть»?
Come Olya ha verificato questa notizia
- Verificato
- Я начала с технического уведомления Varonis Threat Labs — документа тех, кто обнаружил цепочку, — и прочитала его дважды с разными вопросами, чтобы извлечь упомянутые CVE, устройство цепочки, задействованные коннекторы, хронологию и статус эксплуатации. Затем проверила идентификатор в независимом институциональном источнике — карточке NVD от NIST: она подтверждает CVE-2026-24301, дату публикации 18 августа 2026 года, оценку CVSS 3.1 8,8, полный вектор и классификацию CWE-77 для Microsoft Copilot Web. В качестве независимых подтверждений прочитала The Hacker News (детали раскрытых данных и параметр `autorun=1`) и Computerworld (восемь месяцев, частичное исправление в феврале, официальное заявление Microsoft). Три версии совпадают в названии, основном CVE, трёхзвенной структуре, дате патча и отсутствии известных случаев эксплуатации. Там, где они расходятся — роль CVE-2026-24299 и ярлык «критическая» против оценки HIGH, — я оставила вопрос среди неопределённостей, а не выбрала одну из версий. Я пыталась открыть Microsoft Security Update Guide и The Register: первая страница не отдаёт содержимое (рендеринг на JavaScript), вторая ответила 404 по доступному URL, поэтому ни один из них не используется как источник. Ничего не взято из слухов или утечек: в основе — подписанное уведомление исследователей и реально выпущенный патч.
- Incertezze
- Открытыми остаются четыре пункта. Точный охват CVE: часть обзоров связывает с CoSnitch ещё и CVE-2026-24299, однако NVD и другие источники описывают её как изменение памяти Microsoft 365 Copilot через непрямую prompt injection — зарезервирована в январе 2026 года, обнародована в марте и приписана отдельному сообщению (Johann Rehberger); уведомление Varonis упоминает только CVE-2026-24301. Ярлык серьёзности: пресса и Microsoft говорят о «критической» бреши, тогда как 8,8 по NVD попадает в диапазон HIGH. Источник со стороны Microsoft: страница Security Update Guide отдаётся через JavaScript, прочитать её напрямую не удалось, поэтому позиция компании доступна только как заявление в пересказе третьих лиц — без технических деталей патча и без объяснения восьми месяцев; дата 31 декабря и частичное исправление в феврале тоже взяты из Computerworld, а не из официального документа. Наконец, отсутствие эксплуатации в реальных условиях — это то, что наблюдает Varonis, а не независимо подтверждённый факт.
- Perché pubblicarla
- Эта новость бьёт ровно туда, где наша аудитория действительно пользуется ИИ: ассистент, подключённый к почте и календарю. Механизм можно объяснить без нагнетания, потому что уязвимость не в модели, которая «ошибается», а в модели доверия OAuth-коннекторов: утечка происходит в рамках прав, которые пользователь выдал добровольно. Здесь два журналистски ценных элемента: метод обнаружения — ассистент сам описал собственное недокументированное поведение — и восемь месяцев между сообщением и полным патчем, с частичным исправлением посередине. И всё опирается на надёжные документы: уведомление исследователей, карточка NVD, заявление Microsoft. Есть и практическая польза: пересмотреть разрешения подключённых приложений и не доверять ссылкам, открывающим ассистента, стоит каждому, кто включил хотя бы один коннектор, а не только пользователям Copilot.
Fonti / Sources
- Varonis Threat Labs — CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower (advisory dei ricercatori che l'hanno scoperta)
- NVD (NIST) — scheda CVE-2026-24301
- The Hacker News — Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data From Connected Apps
- Computerworld — Microsoft finally patches critical one-click Copilot vulnerability