Microsoft Copilot svela l'input segreto che ha permesso di violarlo

Un parametro URL non documentato ha trasformato Microsoft Copilot in un possibile punto di ingresso per l’esecuzione automatica di prompt e l’accesso ai dati collegati all’account.

La tecnica, chiamata CoSnitch da Varonis Threat Labs, è stata resa pubblica nella giornata di ieri e identificata con la vulnerabilità CVE-2026-24301. Microsoft ha distribuito le correzioni nella stessa giornata.

La scoperta è particolarmente significativa perché i ricercatori non hanno dovuto analizzare il codice per individuare la falla. È stato Copilot stesso a fornire, attraverso una serie di domande mirate, informazioni sul funzionamento dei parametri URL e sulle condizioni necessarie per attivare automaticamente un prompt.

Come funzionava la catena d’attacco

Varonis ha definito “meta-hacking” il metodo utilizzato per individuare il problema. Dopo alcune risposte iniziali che negavano la possibilità di eseguire automaticamente un comando, Copilot ha indicato il parametro non documentato autorun=1, spiegandone anche il comportamento. I ricercatori hanno quindi verificato che il parametro poteva avviare un prompt durante il caricamento della pagina.

La catena sfruttava anche il parametro q, utilizzato per inserire un’istruzione direttamente nell’URL e precaricarla nell’interfaccia. Da solo, questo elemento richiedeva una conferma manuale. In combinazione con autorun=1, però, il prompt poteva essere elaborato quando l’utente apriva il collegamento in una sessione già autenticata.

Il rischio principale non riguardava soltanto il testo prodotto da Copilot, ma le autorizzazioni già concesse all’assistente. Se l’account era collegato a servizi come Gmail, Google Drive o Calendar, il prompt malevolo poteva indurre Copilot a consultare messaggi, file, eventi e cronologia delle conversazioni accessibili all’utente.

La vulnerabilità non rappresentava una violazione dei sistemi OAuth. I servizi esterni ricevevano richieste da un’identità regolarmente autorizzata. Il problema consisteva nell’assenza di una scelta consapevole da parte dell’utente: l’azione veniva avviata da un’istruzione inserita nell’URL.

Dall’accesso ai dati all’esfiltrazione

Secondo Varonis, Copilot poteva inoltre recuperare risorse da URL esterni. I ricercatori hanno sfruttato questa capacità per dimostrare che informazioni ottenute da fonti autorizzate potevano essere trasferite verso un endpoint controllato dall’attaccante tramite una richiesta web generata dall’assistente.

La comunicazione poteva apparire simile a una normale operazione di recupero di contenuti. L’assistente diventava così il collegamento tra dati accessibili, capacità di analisi e richieste esterne. In alcuni scenari, l’elaborazione poteva continuare anche dopo la chiusura della scheda, perché le operazioni successive venivano gestite lato server.

CoSnitch comprendeva anche un problema di memory poisoning. Una pagina predisposta poteva introdurre istruzioni nella memoria di Copilot, influenzando conversazioni future. Secondo Varonis, l’effetto poteva persistere oltre la sessione e non essere eliminato automaticamente dal cambio della password o dalla revoca dell’autenticazione.

La ricerca riguarda principalmente Copilot Personal e non deve essere confusa con i precedenti problemi descritti per Microsoft 365 Copilot Enterprise. Microsoft ha dichiarato di avere applicato le correzioni il 18 agosto 2026, mentre Varonis afferma di non avere trovato prove di sfruttamento della tecnica in attacchi reali.

Il caso evidenzia un principio importante per la sicurezza degli assistenti AI: parametri URL, email, documenti e pagine web devono essere trattati come input non attendibili, anche quando contengono istruzioni apparentemente valide.

Bloccare soltanto determinati prompt non è sufficiente. Le difese devono impedire che un contenuto esterno possa ottenere automaticamente lo stesso livello di autorità di un comando impartito dall’utente e devono controllare anche le azioni successive sui servizi collegati.