Microsoft Copilot ujawnił własną lukę; w jednym z linków napisano: „proszę sprawdzić swoją skrzynkę odbiorczą”

Badacze z firmy Varonis skłonili asystenta AI firmy Microsoft, Copilota, do ujawnienia własnej luki w zabezpieczeniach. Wielokrotnie pytali, dlaczego dane polecenie nie może zostać wykonane samodzielnie. Copilot wyjaśniał powody każdej odmowy. W trakcie jednej z takich odmów wskazał nieudokumentowany parametr paska adresu wraz z zabezpieczeniami, jakie firma Microsoft wokół niego wprowadziła. Badacze stworzyli adres dokładnie zgodnie z opisem. Działał.

Firma Microsoft usunęła tę lukę 18 sierpnia. Została ona zarejestrowana jako CVE-2026-24301 i sklasyfikowana jako krytyczna, z wynikiem CVSS wynoszącym 8,8 na 10. CVSS to standardowa w branży skala służąca do oceny powagi luk w zabezpieczeniach. Produktem, którego dotyczyła luka, była konsumencka wersja Copilota – aplikacja, którą firma Microsoft niedawno włączyła do pakietu subskrypcyjnego.

Wystarczyło jedno kliknięcie, a asystent działał na rzecz nieznajomych

Atak, który firma Varonis nazwała CoSnitch, wymagał jedynie linku. Kliknięcie go powodowało uruchomienie aplikacji Copilot w ramach sesji, w której ofiara była zalogowana. Dodatkowy parametr w adresie powodował natychmiastowe wykonanie polecenia atakującego, bez wyświetlania monitu i bez konieczności naciskania przycisku wysyłania. Następnie Copilot przeszukiwał podłączoną skrzynkę odbiorczą, kalendarz i dysk w chmurze, pakował znalezione dane do adresu internetowego i pobierał je. Dla narzędzi bezpieczeństwa monitorujących sieć wyglądało to jak zwykła strona, o której podsumowanie poproszono Copilota.

W testach przeprowadzonych przez badaczy udało się w ten sposób uzyskać hasła, które ktoś po prostu przesłał pocztą elektroniczną. Oprócz tego uzyskano informacje o spotkaniach, w tym o uczestnikach i lokalizacjach, nazwy plików z dysku w chmurze oraz historię wcześniejszych rozmów.

Dlaczego nowe hasło nie pomogło

Najpoważniejszy problem tkwi w pamięci długotrwałej. Copilot zapamiętuje informacje wykraczające poza zakres pojedynczej rozmowy. Gdy poproszono go o podsumowanie strony internetowej zawierającej pułapkę, zapisał ukryte tam instrukcje w tej pamięci. Dla użytkownika odpowiedź wyglądała jak zwykłe podsumowanie. Fakt, że asystentowi można w ten sposób przekazać instrukcje, nie jest nowym odkryciem.

Wpis ten pozostał jednak w pamięci. Nie usunęło go ani nowe hasło, ani wylogowanie się ze wszystkich sesji, ani ponowna rejestracja urządzenia. Te trzy kroki to dokładnie to, co robią ludzie, gdy podejrzewają, że ktoś uzyskał dostęp do ich konta.

Co można teraz sprawdzić

Firma Microsoft usunęła tę lukę na swoich serwerach, więc nikt nie musi niczego instalować. Firma Varonis nie znalazła żadnych oznak, że ktokolwiek faktycznie wykorzystał ten atak. Został on zgłoszony w grudniu 2025 r., a poprawka została wprowadzona osiem miesięcy później.

Jeśli mimo wszystko chcą Państwo to sprawdzić: na stronie copilot.microsoft.com przycisk konta w pasku bocznym prowadzi do pamięci przechowywanych danych. Znajduje się tam lista wszystkich wpisów, które można usuwać pojedynczo lub wszystkie naraz. Wszystko, co nie powinno się tam znaleźć, zazwyczaj rzuca się w oczy już przy pierwszym przejrzeniu.

CoSnitch to trzecia luka w Copilocie wykryta w tym roku przez firmę Varonis. Dwie pozostałe luki przebiegały według tego samego schematu: wystarczyło jedno kliknięcie w link, który wyglądał na nieszkodliwy.