Un enlace fue suficiente para vaciar su Copilot y la solución tardó ocho meses
Microsoft parchó CVE-2026-24301 el 18 de agosto. Varonis lo llama CoSnitch: un solo clic en un enlace creado hacía que Copilot leyera el Gmail, Drive y Calendar de la víctima y enviara el contenido a un extraño.
Microsoft envió un parche el 18 de agosto para una falla crítica en Copilot Personal que los investigadores de Varonis Threat Labs denominaron CoSnitch. Calificado con 8.8 sobre 10 y rastreado como CVE-2026-24301, hizo algo incómodamente simple: un clic en un enlace de apariencia normal fue suficiente para que un atacante leyera todo lo que el Copilot de la víctima pudiera alcanzar y lo enviara silenciosamente. Varonis informó del problema en diciembre de 2025. La solución completa llegó aproximadamente ocho meses después.
El ataque encadenó tres debilidades distintas. En primer lugar, un parámetro de URL no documentado significaba que un mensaje incrustado en un enlace se ejecutaría en el momento en que se cargara la página, sin hacer clic en el botón de enviar ni confirmación. En segundo lugar, ese mensaje heredó la sesión ya iniciada de la víctima, por lo que podía consultar cualquier cosa que el usuario hubiera conectado: Gmail, Google Drive, Calendario, el historial de chat de Copilot y la memoria de Copilot. En tercer lugar, la capacidad ordinaria de Copilot para buscar y resumir una página web se convirtió en la furgoneta de reparto. El mensaje empaquetaba los datos recopilados en una dirección web y le pedía a Copilot que los recuperara, por lo que el robo parecía, en la red, exactamente como si Copilot buscara cualquier otro enlace.
Hay una tercera debilidad que merece un párrafo aparte, porque es la que perdura. Varonis demostró que una página web manipulada, cuando Copilot la resumía, podía escribir instrucciones del atacante en la memoria permanente de Copilot. Esto se conoce como prompt injection indirecta: la instrucción maliciosa se encuentra dentro del contenido que el asistente lee en su nombre, no en algo que usted haya escrito. La víctima ve un resumen perfectamente normal. La instrucción permanece. Sobrevive a cambios de contraseña, revocación de sesión y reinscripción del dispositivo, porque se almacena en la memoria del asistente en lugar de en una sesión. Varonis no encontró señales de que el ataque se hubiera utilizado en entornos reales antes del parche.
El método de descubrimiento es su propia historia. Los investigadores no realizaron ingeniería inversa en nada. Siguieron pidiéndole a Copilot que explicara por qué la ejecución automática de prompts era imposible, y cada negativa venía con una justificación técnica que limitaba un poco más la búsqueda. Finalmente, el asistente mencionó el parámetro indocumentado, a medio negar. Varonis llama a esto meta-hacking, y es la parte que se generaliza más allá de Microsoft: se puede convencer a cualquier asistente que explique su propio razonamiento en un lenguaje sencillo para que describa sus propios límites.
Qué significa esto para usted: si usa Copilot Personal, aplique las actualizaciones y luego vaya y mire la configuración de la memoria de Copilot, porque todavía habría una entrada de memoria envenenada allí. Es una página que casi nadie abre. Más allá de eso, la lección duradera es sobre los conectores. Cada servicio que vinculas a un asistente de IA amplía el alcance que puede alcanzar un solo clic incorrecto, así que conecta solo lo que realmente usas y desconecta el resto. Y trate cualquier enlace que complete previamente un mensaje en una herramienta de inteligencia artificial de la misma manera que trataría un archivo adjunto inesperado: lea lo que dice antes de ejecutarlo. Esta es la tercera falla de Copilot de un clic que Varonis publica este año, lo que sugiere que el patrón no está terminado.
Fuentes
Los próximos centros de datos de IA de Europa se están construyendo a 175 kilómetros de cualquier lugar, porque ahí es donde está la energía
Las cifras de JLL muestran que los próximos centros de datos de IA de Europa se ubicarán a una media de 175 kilómetros de los principales centros, frente a los 46 kilómetros de los proyectos de 2022 a 2025. El terreno motorizado en Ámsterdam cuesta 2,36 millones de euros por megavatio, frente a 512.000 en otros lugares.
