Un collegamento è bastato per svuotare Copilot e la soluzione ha richiesto otto mesi

Microsoft ha distribuito una patch il 18 agosto per un difetto critico in Copilot Personal che i ricercatori di Varonis Threat Labs hanno chiamato CoSnitch. Valutato 8,8 su 10 e tracciato come CVE-2026-24301, faceva qualcosa di scomodamente semplice: un clic su un collegamento dall’aspetto normale era sufficiente affinché un utente malintenzionato leggesse qualunque cosa il Copilot della vittima potesse raggiungere e lo spedisse silenziosamente. Varonis ha segnalato il problema nel dicembre 2025. La soluzione completa è arrivata circa otto mesi dopo.

L’attacco ha concatenato tre punti deboli separati. Innanzitutto, un parametro URL non documentato significava che un messaggio incorporato in un collegamento veniva eseguito nel momento in cui la pagina veniva caricata, senza fare clic su un pulsante di invio e senza conferma. In secondo luogo, quel messaggio ereditava la sessione già effettuata dalla vittima, in modo da poter interrogare qualsiasi cosa l’utente si fosse connesso: Gmail, Google Drive, Calendario, cronologia chat di Copilot e memoria di Copilot. In terzo luogo, la capacità ordinaria di Copilot di recuperare e riassumere una pagina web è diventata il furgone per le consegne. Il prompt ha inserito i dati raccolti in un indirizzo web e ha chiesto a Copilot di recuperarli, quindi il furto sembrava, sulla rete, esattamente come se Copilot recuperasse qualsiasi altro collegamento.

C’è una terza debolezza che vale un paragrafo a parte, perché è quella che dura. Varonis ha dimostrato che una pagina web manomessa, una volta sintetizzata da Copilot, poteva scrivere istruzioni per l’aggressore nella memoria permanente di Copilot. Questo è noto come prompt injection indiretto: l’istruzione dannosa si trova all’interno del contenuto che l’assistente legge per tuo conto, non in qualcosa che hai digitato. La vittima vede un riepilogo perfettamente normale. L’istruzione rimane. Sopravvive alle modifiche della password, alla revoca della sessione e alla nuova registrazione del dispositivo, perché è archiviato nella memoria dell’assistente anziché in una sessione. Varonis non ha trovato alcun segno che l’attacco fosse stato utilizzato in scenari reali prima della patch.

Il metodo di scoperta è una storia a sé stante. I ricercatori non hanno effettuato il reverse engineering di nulla. Continuavano a chiedere a Copilot di spiegare perché l’esecuzione automatica dei prompt era impossibile, e ogni rifiuto era accompagnato da una giustificazione tecnica che restringeva ulteriormente la ricerca. Alla fine l’assistente ha nominato lui stesso il parametro non documentato, a metà del rifiuto. Varonis lo chiama meta-hacking, ed è la parte che generalizza al di là di Microsoft: qualsiasi assistente che spieghi il proprio ragionamento in un linguaggio semplice può essere convinto a descriverne i propri limiti.

Che cosa significa per te: se usi Copilot Personal, applica gli aggiornamenti e poi vai a controllare le impostazioni di memoria di Copilot, perché una voce di memoria avvelenata sarebbe ancora lì. È una pagina che quasi nessuno apre. Oltre a ciò, la lezione duratura riguarda i connettori. Ogni servizio che colleghi a un assistente AI amplia ciò che un singolo clic errato può raggiungere, quindi collega solo ciò che effettivamente utilizzi e disconnetti il ​​resto. E tratta qualsiasi collegamento che precompila un prompt in uno strumento di intelligenza artificiale nello stesso modo in cui tratteresti un allegato inaspettato: leggi cosa dice prima che venga eseguito. Questo è il terzo difetto di Copilot con un clic che Varonis ha pubblicato quest’anno, il che suggerisce che il modello non è finito.

Fonti

• Varonis Threat Labs: CoSnitch
• CSO Online: Microsoft finalmente risolve la vulnerabilità critica di Copilot con un clic
• The Hacker News: i difetti personali di Microsoft Copilot potrebbero consentire con un clic di esfiltrare dati