Copilot raggirato con un comando nell’URL che aveva rivelato lui stesso

Microsoft ha distribuito il 18 agosto le correzioni per tre vulnerabilit� di Copilot Personal che Varonis Threat Labs aveva segnalato a dicembre 2025. Le tre falle sono raccolte sotto un unico identificativo, CVE-2026-24301, e insieme compongono una catena che i ricercatori hanno chiamato CoSnitch: alla vittima basta cliccare un link perch� un prompt scritto dall’attaccante parta dentro la sua sessione autenticata, interroghi le applicazioni che ha collegato all’assistente e spedisca il risultato a un server esterno.

Il prompt parte da solo grazie a un parametro di URL non documentato, autorun=1, che Copilot ha rivelato ai ricercatori mentre spiegava perch� l’esecuzione automatica non era possibile. Varonis chiama meta-hacking il metodo, e lo descrive come ingegneria sociale applicata al motore di ragionamento invece che a una persona. Nel report l’azienda riassume l’episodio cos�: Copilot non � stato violato, � stato raggirato.

CoSnitch � la terza falla di Copilot che Varonis pubblica quest’anno, dopo Reprompt, che aggirava le protezioni dell’assistente semplicemente ripetendo la richiesta, e SearchLeak, che a giugno aveva trasformato Microsoft 365 Copilot in uno strumento di esfiltrazione silenziosa. Meno di due settimane fa lo stesso gruppo aveva descritto RovoBlast, un attacco a un clic contro l’assistente Rovo di Atlassian che abusava del parametro di URL rovoChatPrompt per piantare istruzioni nella sessione di un utente gi� autenticato; Atlassian ha corretto prima della pubblicazione.

Come i ricercatori sono arrivati ad autorun=1

I ricercatori hanno chiesto a Copilot perch� un prompt non potesse essere eseguito senza interazione dell’utente. L’assistente ha rifiutato, e ogni rifiuto portava con s� una giustificazione tecnica che restringeva il campo: la struttura degli URL, i deep link, il comportamento della pagina caricata con il campo di input gi� compilato. A un certo punto Copilot ha nominato il parametro non documentato, insieme al comportamento che aveva avuto in passato e alle protezioni che avrebbero dovuto disattivarlo. I ricercatori hanno costruito l’URL esattamente come descritto, e il parametro che Copilot dava per neutralizzato ha funzionato.

Inizialmente quindi Copilot ha continuato a rifiutare le richieste, ma ogni rifiuto rivelava dettagli tecnici sulla sua architettura interna, fino a quando dopo altre richieste l’assistente di Microsoft ha rivelato parametri non documentati, che sono stati usati far girare i prompt automaticamente.

Il parametro q, da solo, si limita a precompilare il campo di input: l’utente deve ancora premere invio. Perch� il prompt parta senza alcun gesto servono entrambi i parametri. Una volta avviata, l’esecuzione arriva in fondo anche se la vittima chiude subito la scheda, comprese le chiamate di rete, le invocazioni dei connettori e le catene su pi� turni.

L’esfiltrazione passa dai permessi che l’utente ha gi� concesso

Copilot legge la posta collegata via OAuth per intero, non i riassunti n� i metadati. Nei test Varonis l’assistente ha restituito corpi dei messaggi, oggetti, mittenti e destinatari dagli account di posta collegati, titoli, invitati, orari e luoghi dal calendario, nomi e metadati dei file su Google Drive, le conversazioni precedenti della chat e le istruzioni salvate nella memoria. Una delle email recuperate conteneva una password in chiaro, mandata dall’assistenza interna.

Per far uscire i dati il prompt sfrutta la funzione con cui Copilot recupera e riassume una pagina web. I dati raccolti vengono codificati in base64, appesi al percorso di un URL controllato dall’attaccante, e Copilot esegue la richiesta come parte del suo normale funzionamento. La codifica serve anche a evitare i filtri che cercano password e chiavi API nelle richieste in uscita. A livello di rete quella richiesta � indistinguibile da qualsiasi altra pagina che l’assistente vada a leggere: nessuna intestazione anomala, nessuna porta insolita, nessun contenuto segnalabile.

Il punto non � una falla di Gmail o del protocollo OAuth. L’utente ha autorizzato Copilot a leggere la propria posta, e Copilot la legge. Quello che salta � il presupposto per cui le invocazioni dei connettori partono sempre dall’utente. La documentazione Microsoft sui connettori dice che i servizi collegati elaborano le richieste con i permessi che l’account ha gi�, e che Copilot non li amplia: resta vero anche durante l’attacco, ed � il motivo per cui l’attacco non ha bisogno di ampliare niente.

Una pagina riassunta scrive nella memoria permanente

La terza vulnerabilit� non ha bisogno del link. Basta che la vittima chieda a Copilot di riassumere una pagina web preparata dall’attaccante: le istruzioni nascoste nei metadati della pagina finiscono nella memoria persistente dell’assistente, quella che conserva preferenze e indicazioni da riusare nelle sessioni successive. � una prompt injection indiretta, e la vittima non vede mai l’istruzione. La vede solo il modello.

L’istruzione iniettata sopravvive al cambio della password, alla revoca delle sessioni e alla riregistrazione del dispositivo, e resta attiva nelle conversazioni successive finch� l’utente non la cancella dalle impostazioni della memoria. Varonis segnala che la scrittura non produce processi, file, connessioni di rete o voci di log che uno strumento di sicurezza possa segnalare: l’unico modo di accorgersene � ispezionare a mano il contenuto della memoria. Con quelle istruzioni un attaccante pu� inoltrare gli output, filtrare le informazioni, orientare le risposte verso una narrazione scelta da lui o far scattare azioni al verificarsi di una condizione.

Fra la segnalazione e le correzioni sono passati otto mesi. A febbraio Microsoft aveva gi� mitigato in silenzio una parte del problema impedendo al parametro q di inserire testo nel campo di input, con l’effetto collaterale di togliere alle integrazioni di terze parti nei browser l’uso per cui il parametro era nato; le correzioni pi� ampie sono arrivate il 18 agosto.

Non c’� un aggiornamento da installare sul client, e le raccomandazioni di Varonis restano di igiene: rivedere quali applicazioni sono collegate a Copilot e scollegare quelle che non servono, trattare l’assistente come un utente privilegiato ai fini del controllo degli accessi, diffidare dei link che aprono un assistente. Sulla memoria resta invece un punto aperto: le istruzioni iniettate restano finch� l’utente non le cancella da s�, e la comunicazione di Varonis non dice se l’intervento di Microsoft abbia rimosso retroattivamente le voci create prima della correzione.