Varonis Threat Labs ha divulgado tres vulnerabilidades en Microsoft Copilot Personal que, según el informe, podrían permitir que un atacante obtenga información de forma silenciosa con un solo clic en un enlace especialmente construido. El caso se centra en la experiencia del asistente para consumidores alojada en copilot.microsoft.com, y recibe el nombre colectivo CoSnitch en Copilot.
De acuerdo con el análisis, el objetivo del ataque no sería “romper” el asistente, sino aprovechar cómo responde a ciertos parámetros de URL y a las condiciones de la sesión del usuario. Las fallas fueron reportadas a Microsoft en diciembre de 2025 y parchadas el 18 de agosto de 2026, según indica el laboratorio.
Qué es CoSnitch en Copilot Personal
El informe explica que las tres fallas combinan elementos relacionados con parámetros de URL que el asistente reveló durante pruebas internas de los investigadores. En particular, Varonis describe cómo llegó a un parámetro no documentado tras un proceso de preguntas repetidas al asistente sobre por qué un prompt no podía ejecutarse sin interacción del usuario (a lo que la firma llama meta-hacking).
Tras construir los enlaces exactamente como se indicaba, los investigadores observaron que el comportamiento dejaría de funcionar si se introducía la configuración “según lo prometido” por el asistente. Varonis resume el resultado con una idea provocadora: no habría un acceso comprometido, sino un escenario “disfrazado” mediante ingeniería del flujo (“wasn’t breached; it was played”, según el reporte citado).
La vía de un clic: ejecución automática del prompt
Según la investigación, el camino más relevante está compuesto por dos elementos de URL. Varonis detalla que el parámetro q por sí solo únicamente rellenaría el campo de entrada, mientras que se requeriría la presencia de un segundo parámetro para que el prompt “dispare” en carga de página sin que el usuario tenga que realizar una acción adicional.
En CoSnitch en Copilot, el segundo parámetro identificado se denomina autorun=1. El informe afirma que, con una combinación adecuada (incluyendo autorun=1 junto con q), un atacante podría conseguir que el asistente ejecute un prompt proporcionado por el adversario dentro de la sesión autenticada del usuario.
Además, los investigadores señalan un detalle operativo: una vez iniciada la ejecución, el proceso continuaría hasta completarse incluso si la víctima cierra la pestaña de Copilot tras cargar la página.
Exfiltración desde servicios conectados
La segunda pieza de la cadena se centra en el acceso a contenido ya autorizado. El informe afirma que el prompt inyectado podría consultar servicios que el usuario ya hubiera conectado, codificar los datos recuperados y usar la capacidad interna de Copilot para realizar solicitudes mediante URL hacia un destino controlado por el atacante (un webhook).
Importante: Varonis indica que la técnica no ampliaría permisos ni otorgaría al asistente capacidades nuevas más allá de lo que el usuario ya autorizó. En términos de alcance, Copilot seguiría operando con el mismo nivel de acceso existente en las cuentas del usuario.
El laboratorio también explica que la solicitud de exfiltración sería indistinguible a nivel de red de las peticiones que Copilot realiza normalmente al resumir una página web. Para dificultar el filtrado por patrones obvios, menciona que el uso de codificación base64 podría ayudar a evitar inspecciones orientadas a cadenas sensibles (como credenciales) en el tráfico saliente.
Qué datos se mencionan en las pruebas
En su evaluación, Varonis afirma que el asistente pudo devolver información de distintos tipos, por ejemplo:
- Del correo: cuerpos de mensajes, asunto, y metadatos de remitentes y destinatarios.
- De calendarios: títulos, asistentes, horas y ubicaciones.
- De Google Drive: nombres de archivos y resúmenes de metadatos.
- Del historial del chat: contenido previo de conversaciones.
- De la memoria del asistente: instrucciones guardadas y reglas definidas por el usuario.
El informe aclara que esto se reporta como resultado de pruebas, y que no existe evidencia de explotación activa en el “mundo real” en el momento de la divulgación.
Escrituras persistentes en la memoria vía resumen web
La tercera vulnerabilidad descrita en CoSnitch en Copilot se diferencia del camino de exfiltración. En este caso, un sitio web especialmente manipulado, cuando es resumido por Copilot, podría provocar que el asistente escriba instrucciones maliciosas en el almacén de memoria del usuario.
Según Varonis, esas instrucciones podrían influir en conversaciones posteriores. Además, el laboratorio afirma que la persistencia se mantiene incluso después de cambios como modificaciones de contraseña, revocación de sesión y re-enrolamiento de dispositivo, hasta que el usuario elimine la entrada desde la configuración de memoria de Copilot.
Otro punto relevante del informe es que este tipo de escritura no generaría rastros que el software de seguridad detectaría fácilmente: Varonis sostiene que no habría señales típicas como procesos, archivos, conexiones de red o entradas de registro que disparen herramientas defensivas. El cambio sí se observaría en la interfaz de memoria dentro del asistente.
Asignación de identificador CVE y alcance del problema
CoSnitch se registra como CVE-2026-24301 en la guía de actualizaciones de seguridad de Microsoft. Varonis menciona explícitamente Copilot Personal, el asistente de consumo en copilot.microsoft.com, y no afirma que el mismo comportamiento afecte a Microsoft 365 Copilot.
Además, la investigación llega en un contexto donde ya existían reportes sobre la clase de problema relacionada con memoria e inyección indirecta. Varonis recuerda investigaciones anteriores que documentaron persistencia de memoria en flujos de resumen y cambios asociados a CVE-2026-24299, además de publicaciones coordinadas durante periodos de mitigación.
Qué dice Microsoft y cómo funciona la protección
Microsoft indica, según la documentación de conectores citada, que los usuarios deben autorizar servicios antes de que Copilot pueda acceder a ellos, y que los conectores operan con los permisos existentes de la cuenta del usuario. En esa misma línea, el reporte recoge la postura de Microsoft: Copilot no expande el acceso y se limita a contenidos para los que ya existe permiso.
Sobre el vector de memoria, el informe contrasta el hallazgo con lo que Microsoft describe en un blog de seguridad del 22 de junio. En ese texto, Microsoft señala que, para el ámbito de Microsoft 365, la escritura de memoria pasa por sanitización y comprobaciones frente a inyección de prompts, además de aplicar verificaciones de cumplimiento de tareas en cada actualización explícita de memoria. También menciona que las actualizaciones de memoria se registran en auditorías organizacionales y se reflejan en herramientas de analítica (por ejemplo, mediante un campo de MemoryUpdated en Defender Advanced Hunting y Sentinel).
El informe de Varonis, por su parte, no identifica un update del lado del cliente que el usuario deba instalar. Aun así, destaca que las memorias inyectadas persisten hasta que se eliminan explícitamente. No se aclara si la remediación retiró entradas generadas antes de aplicar el parche.
Recomendaciones prácticas para reducir el riesgo
Varonis sugiere medidas concretas para bajar la exposición ante este tipo de escenarios:
- Revisar qué aplicaciones están conectadas a Copilot y desconectar las que no se necesiten activamente.
- Tratar al asistente como un “insider privilegiado” a nivel de revisión de accesos, monitoreo de anomalías y control de integraciones.
- Tener precaución con enlaces que abren asistentes basados en IA, especialmente cuando la URL puede incluir parámetros inusuales.
En paralelo, el propio informe sugiere que la falta de evidencia de explotación en el entorno real no elimina la conveniencia de revisar configuraciones y hábitos de navegación.
Por qué esto importa: de “conveniencia” a canal de fuga
El riesgo descrito en CoSnitch en Copilot se apoya en una idea sencilla: si un asistente puede ejecutar instrucciones dentro de una sesión autenticada y además puede consultar servicios conectados, un atacante puede intentar convertir ese flujo en un canal de exfiltración.
La investigación recalca que no sería necesario que el atacante obtenga nuevos permisos; bastaría con aprovechar lo ya autorizado y la forma en que el asistente recupera, resume y transmite información.
Conclusión
CoSnitch en Copilot Personal pone el foco en cómo pequeños detalles de parámetros de URL y en la manipulación del flujo de resumen pueden derivar en consecuencias serias: ejecución automática en una sesión autenticada, extracción de datos desde servicios conectados y escritura persistente en la memoria del usuario. Varonis afirma que Microsoft ya aplicó parches el 18 de agosto de 2026, y que no hay señales de abuso activo hasta el momento del reporte.
Aun así, el mejor enfoque sigue siendo preventivo: revisar conexiones, limitar integraciones innecesarias y ser especialmente prudente con enlaces que interactúan con asistentes de IA.
Fuente: https://thehackernews.com/2026/08/microsoft-copilot-personal-flaws-could.html
