Microsoft Copilot Personal is opnieuw onderwerp van onderzoek. Varonis Threat Labs meldt drie kwetsbaarheden die samen onder de naam CoSnitch bij Copilot vallen. Het bijzondere: volgens de onderzoekers kan een aanvallerslink met één klik leiden tot het stil ophalen van data uit apps die al met jouw Copilot-sessie verbonden zijn.
De onderzoekers stellen dat deze fouten pas echt duidelijk worden zodra de URL precies wordt samengesteld met een (door Copilot zelf zichtbaar gemaakte) on gedocumenteerde parameter. Microsoft heeft volgens het bericht gepatcht op 18 augustus 2026, en de issues zijn gelinkt aan CVE-2026-24301 in de Security Update Guide.
Wat is CoSnitch bij Copilot Personal?
CoSnitch bij Copilot is de verzamelnaam voor een set aan gerelateerde problemen in de consument-assistent die wordt gehost op copilot.microsoft.com. De onderzoekers noemen expliciet dat het gaat om Copilot Personal en niet om een bevestiging dat hetzelfde gedrag ook geldt voor Microsoft 365 Copilot.
Varonis zegt verder dat er geen aanwijzingen zijn gevonden voor misbruik in het wild. Wel beschrijft het team hoe ze de parameters ontdekten en hoe de techniek in de praktijk werkt zodra de link correct wordt opgebouwd.
De kern: één klik tot automatische promptuitvoering
De onderzoekers beschrijven een route waarbij een gebruiker een geconstrueerde link opent. Daarbij spelen twee URL-onderdelen een rol:
- Een parameter die het verwerken van een prompt zonder gebruikershandeling kan laten starten, aangeduid als autorun=1.
- Een bestaande parameter, aangeduid als q, die als invoerpunt dient voor wat er in de prompt terechtkomt.
Volgens Varonis is q alleen niet genoeg: die vult de inputbox slechts vooraf. Pas wanneer autorun=1 én q samen aanwezig zijn, lijkt de assistent de prompt bij het openen van de pagina te kunnen laten lopen binnen de ingelogde sessie van de gebruiker.
De onderzoekers merken op dat de uitvoering kan doorgaan ook als de gebruiker meteen daarna de Copilot-tab sluit, zodra het proces eenmaal is gestart.
Waarom is dit een datalekrisico?
Het risico zit niet in het uitbreiden van rechten, maar in het benutten van wat al geautoriseerd is. Microsoft-connectoren werken volgens documentatie op basis van toestemming: gebruikers moeten diensten autoriseren voordat Copilot die kan benaderen, en de koppelingen gebruiken vervolgens de bestaande machtigingen van je account.
Varonis stelt dat de geïnjecteerde prompt data kan ophalen uit verbonden services, die data kan verwerken (inclusief codering) en daarna kan wegzetten via de URL-fetch-functionaliteit van Copilot naar een aanvaller-gedefinieerde webhook.
Interessant detail uit het onderzoek: Varonis zegt dat de uitgaande verzoeken qua netwerkgedrag lijken op normale fetches die Copilot uitvoert bij een gewone websamenvatting. Daarnaast wordt genoemd dat base64-achtige codering kan helpen om patronen te verbergen voor filters die uitgaande verzoeken scannen op gevoelige inhoud, zoals referenties naar credentials.
Wat voor data kan er worden uitgelezen?
In de testomgeving beschrijft Varonis dat Copilot response-onderdelen kon teruggeven van verschillende verbonden bronnen, waaronder:
- Mailinformatie, zoals berichtlichamen, onderwerpreregels en metadata van afzender- en ontvangergegevens.
- Agenda-inhoud, zoals titels, aanwezigen, tijden en locaties.
- Bestandsinformatie uit Google Drive, zoals bestandsnamen en metadata-samenvattingen.
- Volledige content van eerdere gesprekken uit de chatgeschiedenis.
- Instructies en regels die in het geheugen van Copilot waren opgeslagen.
Dit is precies waarom “één klik” zo relevant wordt: de assistent heeft al toegang tot de sessiecontext en de data die binnen die context mag worden geraadpleegd.
Naast exfiltratie: geheugen vergiftigen via samenvattingen
CoSnitch bij Copilot heeft niet alleen een pad voor het uitvoeren van prompts bij pagina-laden. Varonis noemt ook een derde kwetsbaarheid die draait om memory-poisoning via websamenvattingen.
Volgens het onderzoek kan een speciaal geconstrueerde webpagina, wanneer Copilot die samenvat, ertoe leiden dat de assistent aanvallersinstructies schrijft in het geheugen van de gebruiker. Dat geheugen beïnvloedt vervolgens latere sessies.
Een extra zorgpunt: Varonis geeft aan dat de geïnjecteerde geheugeninhoud kan blijven bestaan totdat de gebruiker het verwijdert via de geheugeninstellingen. Verder noemt het team dat de wijziging volgens hen niet verdwijnt door bijvoorbeeld wachtwoordwijziging, session revocation of device re-enrollment.
Meta-hacking: hoe vonden de onderzoekers de parameter?
Volgens Varonis bereikten ze de URL-parameters door Copilot herhaaldelijk te vragen waarom een prompt niet zonder gebruikersinteractie kon worden uitgevoerd. Het onderzoeksteam beschrijft hun aanpak als meta-hacking: elke weigering van de assistent ging vergezeld van een technische rechtvaardiging, totdat Copilot uiteindelijk zelf de parameter benoemde die nodig was voor het gedrag.
Na het precies construeren van de URL zoals Copilot het had “uitgelegd”, werkte de parameter volgens het rapport niet meer wanneer de assistent zelf die constructie zag. Varonis vat dit samen als: “Copilot was niet gebroken; het werd uitgelokt.”
Wat zegt Microsoft over rechten en detectie?
In het bericht wordt verwezen naar Microsoft’s visie op dit type aanvallen. De kernboodschap: Copilot werkt met connectoren op basis van toestemming, en het apparaat vergroot de toegang niet voorbij wat al is toegestaan.
Voor de memory-kant stelt Microsoft volgens een eerder blogbericht (genoemd in het onderzoek) dat er sanitization- en prompt-injection checks plaatsvinden bij het schrijven van geheugen. Bij expliciete geheugenschrijfoperaties zou bovendien een Task Adherence-controle worden uitgevoerd, en updates zouden ook zichtbaar moeten worden via auditmechanismen in de Microsoft 365-omgeving.
Varonis voegt hieraan toe dat de uitgelezen verzoeken netwerkmatig moeilijk te onderscheiden zouden zijn van normale samenvattingsfetches. Daarnaast zegt het team dat de memory-wijziging geen proces, bestand, netwerkverbinding of logregel zou opleveren die beveiligingstools standaard direct zouden markeren. Wel zou de verandering zichtbaar zijn in de Copilot-geheugeninterface.
Remediatie: gepatcht op 18 augustus 2026
Varonis meldt dat ze het probleem in december 2025 hebben gerapporteerd aan Microsoft. De fixes zouden zijn geleverd op 18 augustus 2026.
De disclosure vermeldt geen specifieke eindgebruikersactie of update die consumenten zelf moeten installeren. Het onderzoek benoemt bovendien dat geheugeninhoud niet automatisch verdwijnt: het blijft actief totdat een gebruiker het expliciet verwijdert in de Copilot-geheugeninstellingen. Of Microsoft eerder opgeslagen geheugenentries retroactief heeft opgeschoond, wordt niet duidelijk in het bericht.
Praktische maatregelen voor organisaties en gebruikers
Zelfs als er (volgens Varonis) geen bewijs is van exploitatie in het wild, is dit type misbruik relevant: het combineert prompt-injection, sessiecontext en bestaande connecties met één klik.
Varonis adviseert daarom onder meer:
- Controleer welke apps verbonden zijn met Copilot en verbreek koppelingen die niet actief nodig zijn.
- Behandel de assistent als een privileged insider bij toegangbeoordeling en anomaliedetectie.
- Wees voorzichtig met links die AI-assistenten openen, vooral wanneer je niet weet wie ze heeft opgesteld of waarom ze op dat moment nodig zijn.
Als je wilt begrijpen hoe dit past in het bredere patroon van aanvallen op AI/assistant-workflows, is het ook nuttig om eerdere inzichten over injectie en one-click misbruik te lezen, zoals een analyse van een command injection scenario in GitHub Actions. Hoewel de context anders is, gaat het bij beide gevallen om het combineren van een trigger met uitvoering binnen een geautoriseerde omgeving.
Daarnaast sluit dit onderzoek aan op wat we eerder zagen rondom AI-gedreven kwetsbaarheden: patchen is noodzakelijk, maar risicobeheersing draait ook om toegang beperken, koppelingen beoordelen en gebruikersgedrag aanscherpen.
Waarom dit “insider-achtig” voelt
De aanval werkt niet door nieuwe rechten te stelen. In plaats daarvan gebruikt de techniek de bestaande, al geautoriseerde mogelijkheden: de assistent haalt data op alsof je zelf die prompt had getypt, binnen dezelfde sessiecontext.
Dat effect verklaart ook waarom Varonis de uitkomst beschrijft als “indistinguishable” netwerkgedrag en waarom memory-wijzigingen zo hard kunnen aankomen: het systeem lijkt voor het beveiligingsteam op normale interactie, terwijl de inhoud stiekem sturen kan.
Conclusie
CoSnitch bij Copilot is een waarschuwing dat AI-assistenten, zodra ze met verbonden apps werken en sessiecontext meenemen, aantrekkelijk worden voor “één klik”-aanvallen. Varonis beschrijft een route via URL-parameters die automatische promptuitvoering kan triggeren, waarna data kan worden opgehaald uit mail-, agenda- en bestandsbronnen. Daarnaast is er een apart pad voor het schrijven van aanvallersinstructies in Copilot-memory via websamenvattingen.
Microsoft heeft gepatcht op 18 augustus 2026. Voor gebruikers en organisaties blijft echter vooral belangrijk: connectoren beperken, kritisch omgaan met links en het Copilot-geheugen en de gekoppelde services actief beheren.
Bron: https://thehackernews.com/2026/08/microsoft-copilot-personal-flaws-could.html
