Falhas 'CoSnitch' no Microsoft Copilot Personal permitiam exfiltração de dados com um clique
A Varonis Threat Labs revelou três vulnerabilidades no Microsoft Copilot Personal, batizadas de CoSnitch, que permitiam a um atacante executar um prompt malicioso dentro da sessão autenticada da vítima assim que ela abrisse um link, sem qualquer outra interação. As falhas combinavam parâmetros de URL não documentados, o próprio buscador de URLs do assistente para exfiltrar dados de apps conectados, e escrita persistente na memória do Copilot a partir de páginas resumidas. A Microsoft corrigiu o problema em 18/08/2026, sem evidência de exploração ativa.
A Varonis Threat Labs divulgou três vulnerabilidades no Microsoft Copilot Personal, o assistente de consumidor em copilot.microsoft.com, reunidas sob o nome CoSnitch e catalogadas como CVE-2026-24301. As falhas foram reportadas à Microsoft em dezembro de 2025 e corrigidas em 18 de agosto de 2026, sem evidência de exploração ativa até a divulgação.
Tecnicamente, a primeira falha combina dois parâmetros de URL, um deles não documentado (autorun=1), que fazem um prompt fornecido pelo atacante ser executado automaticamente assim que a página carrega, dentro da sessão já autenticada da vítima, mesmo que ela feche a aba imediatamente após o clique. A segunda falha usa a própria ferramenta de busca de URLs do Copilot para codificar dados recuperados de aplicativos conectados e enviá-los a um webhook controlado pelo atacante, transformando um recurso legítimo do assistente em canal de exfiltração. A terceira permite escrita persistente na memória de longo prazo do Copilot a partir do resumo de uma página web, plantando instruções que sobrevivem a sessões futuras.
Os dados expostos incluíam corpo e assunto de e-mails, metadados de remetente e destinatário, detalhes de calendário, nomes de arquivos do Google Drive conectado, conteúdo de conversas anteriores e instruções salvas na memória do usuário. Como o assistente já possui acesso autenticado a esses aplicativos conectados, o ataque contorna por completo controles de perímetro de rede tradicionais: o Copilot vira um proxy de dados sob controle do atacante.
O caso se soma a uma série de ataques de 'zero clique' contra assistentes de IA embutidos em navegador reportados neste ano, expondo um padrão estrutural: parâmetros de URL não documentados e ferramentas de busca internas do próprio assistente, pensadas para conveniência, tornam-se superfície de injeção de prompt e exfiltração assim que o assistente tem acesso privilegiado a contas conectadas. Para quem opera ou avalia assistentes de IA com integrações de e-mail, calendário e armazenamento, o caso reforça a necessidade de tratar toda URL, mesmo dentro do próprio domínio do produto, como entrada não confiável, e de auditar separadamente qualquer recurso do assistente capaz de fazer requisições de rede ou escrever em memória persistente.