Пентест WEB: практический курс для начинающих
Исследователи компании Varonis обнаружили три уязвимости в Microsoft Copilot Personal, которые получили общее название CoSnitch. С помощью этих багов атакующий мог вынудить ИИ-ассистента выполнить вредоносный промпт, похитить данные из подключенных сервисов или отравить постоянную память Copilot. Исследователи отмечают, что ключ к этой атаке им подсказал сам Copilot.
Проблемам был присвоен общий идентификатор CVE-2026-24301, и исследователи пишут, что уведомили компанию Microsoft о найденных багах еще в декабре 2025 года. В результате первые защитные меры были реализованы еще в феврале 2026 года, но полноценные исправления вышли только на этой неделе — 18 августа.
Изначально специалисты искали способ, который мог заставить Copilot выполнить промпт без дополнительных действий со стороны пользователя, однако ИИ-ассистент отказывался, объясняя, что для запуска команды требуется явное подтверждение. Тогда специалисты начали расспрашивать помощника, почему автоматическое выполнение команд невозможно, какие URL-параметры за это отвечают, и какие защитные механизмы используются.
В Varonis назвали этот подход «метахакингом», так как, по сути, исследователи использовали социальную инженерию против самой ИИ-модели.
Каждый отказ Copilot раскрывал специалистам все больше технических деталей, а в итоге ассистент сам рассказал им о недокументированном параметре ?autorun=1, который при определенных условиях позволял автоматически выполнить промпт через параметр ?q=. То есть URL имел формат https://copilot.microsoft.com/?q=&autorun=1.
Оказалось, что сочетание ?q= и ?autorun=1 действительно работает: атакующему было достаточно отправить жертве специально подготовленную ссылку (разместив ее в письме, мессенджере, QR-коде или на фишинговой странице). После клика по такой ссылке браузер открывал Copilot в рамках уже аутентифицированной сессии, а вредоносный промпт запускался автоматически, без нажатия Enter или каких-либо других подтверждений.
После этого Copilot выполнял команду, используя уже предоставленные ему разрешения и доступ к данным пользователя. Так, через подключенные сервисы ассистент мог прочитать письма и их метаданные, извлечь информацию из календаря и Google Drive, получить доступ к истории чатов и содержимому собственной памяти. Исследователи подчеркивают, что никаких новых разрешений атака не давала и использовала только уже предоставленный Copilot доступ.
Для эксфильтрации данных исследователи задействовали встроенную функцию загрузки URL. Вредоносный промпт собирал нужные данные, кодировал в base64, а затем добавлял их в URL подконтрольного атакующему сервера. После этого Copilot сам обращался к этому URL, отправляя данные злоумышленнику. В итоге кража информации выглядела как обычный запрос, который ассистент выполняет при суммаризации веб-страниц. Более того, запущенная цепочка продолжала выполняться, даже если пользователь сразу закрывал вкладку Copilot.
Отдельная уязвимость позволяла отравить постоянную память ИИ-ассистента. Исследователи рассказывают, что размещали скрытые инструкции в метаданных веб-страниц, а затем просили Copilot пересказать их содержимое. В результате ассистент сохранял вредоносные указания в памяти и мог следовать им в будущих диалогах: фильтровать информацию, изменять свои ответы определенным образом, пересылать результаты вовне или выполнять заданные атакующим действия.
Более того, такие записи переживали даже смену пароля, отзыв сессий и повторную регистрацию устройства. Обнаружить и удалить их пользователь мог только вручную при проверке настроек памяти.
В докладе специалистов подчеркивается, что уязвимости затрагивали только Copilot Personal, расположенный на copilot.microsoft.com. В материалах Varonis не утверждается, что тот же механизм с ?autorun=1 работал против Microsoft 365 Copilot. Однако нужно заметить, что другие проблемы, связанные с промпт-инжектами и отравлением памяти, ранее находили и в корпоративной версии ассистента.
