Des chercheurs de Varonis Threat Labs ont rendu publiques trois vulnérabilités touchant Microsoft Copilot Personal, l’assistant grand public hébergé sur copilot.microsoft.com. Leur nom de code collectif, CoSnitch, met en avant un scénario particulièrement préoccupant : un simple clic sur un lien conçu pourrait permettre de tirer silencieusement des informations accessibles dans la session Copilot de la victime.
Selon le rapport, la chaîne d’attaque repose sur des paramètres d’URL exploitant le comportement de l’assistant, y compris un paramètre non documenté que Copilot aurait lui-même révélé pendant des tests. Varonis indique n’avoir trouvé aucune preuve d’exploitation dans la nature au moment de la divulgation.
Qu’est-ce que CoSnitch ?
CoSnitch regroupe trois failles distinctes. Les deux premières ouvrent une voie conduisant à une exfiltration de données en un clic. La troisième vise un mécanisme différent : des écritures persistantes dans la mémoire de l’assistant, déclenchées par le résumé d’une page web.
Le point commun est l’exploitation de conditions spécifiques. Les chercheurs expliquent avoir identifié le lien logique entre les paramètres et la façon dont l’assistant déclenche des actions sans intervention utilisateur après le chargement de la page.
Une exfiltration possible en un clic
D’après Varonis, l’attaque commence lorsque la victime suit un lien spécialement construit. Ce lien associe un paramètre existant à un paramètre permettant l’exécution automatique—nommé autorun=1 dans la description des chercheurs—afin de faire démarrer un prompt fourni par l’attaquant au moment où la page s’ouvre.
Les chercheurs précisent que le paramètre q seul ne fait qu’préremplir la zone de saisie. En revanche, les deux paramètres doivent être présents pour que l’exécution se fasse sans geste de l’utilisateur.
Pourquoi l’assistant aurait “révélé” la surface d’attaque
Pour parvenir à ces conditions, Varonis décrit une méthode de test appelée meta-hacking. L’équipe aurait demandé à Copilot pourquoi un prompt ne pouvait pas être exécuté sans interaction utilisateur. Chaque refus s’accompagnait d’une justification technique, jusqu’au moment où l’assistant aurait fini par nommer un paramètre et décrire des conditions de session ainsi que des protections supposées désactiver le comportement.
Ensuite, lorsque les chercheurs ont reconstitué le lien exact tel que décrit, le paramètre n’aurait plus fonctionné : Varonis résume l’idée en disant que Copilot n’a pas été “perforé”, mais “mis à l’épreuve”.
Quelles données pourraient être concernées ?
Une fois l’exécution enclenchée, l’instruction fournie par l’attaquant peut utiliser les capacités déjà autorisées pour interagir avec des services connectés. Varonis décrit plusieurs catégories d’informations observées en test :
- Messagerie : corps des messages, objets, métadonnées d’expéditeurs et de destinataires.
- Calendrier : titres d’événements, participants, dates et lieux.
- Google Drive : noms de fichiers et résumés de métadonnées.
- Historique de discussion : contenu de conversations antérieures disponible dans le contexte.
- Mémoire de l’utilisateur : règles et instructions enregistrées dans le stockage de mémoire.
Le rapport indique aussi que l’exfiltration peut être difficile à distinguer au niveau réseau des requêtes normales de synthèse effectuées par Copilot lorsqu’il traite une page web ordinaire. Les chercheurs ajoutent que l’encodage base64 pourrait aider à éviter certains mécanismes de filtrage cherchant des motifs sensibles.
Exfiltration : pas d’extension des droits
Un point important souligné par Varonis et recoupé par la documentation mentionnée : l’attaque ne donne pas à Copilot de nouveaux droits ni n’étend l’accès de l’utilisateur. Les requêtes exploitent ce que le compte a déjà autorisé, conformément au principe selon lequel les utilisateurs doivent préalablement autoriser les services connectés.
Autrement dit, le risque provient surtout du fait qu’un prompt déclenché à l’ouverture d’une page peut exploiter les autorisations existantes de la session Copilot.
Une deuxième voie : la mémoire peut être empoisonnée
La troisième vulnérabilité de CoSnitch ne repose pas uniquement sur l’exfiltration. Elle vise un mécanisme de mémoire persistante, alimenté par le résumé de contenus web.
Selon Varonis, un site web malveillant peut être conçu pour, lorsqu’il est résumé par Copilot, faire écrire des instructions dans la mémoire de l’utilisateur. Ces instructions peuvent ensuite orienter des conversations ultérieures.
Les chercheurs indiquent que cette mémoire écrite :
- survit à des changements de mot de passe ;
- survit à la révocation de session ;
- survit au ré-enrôlement d’appareil ;
- reste active tant que l’utilisateur ne supprime pas l’entrée via les paramètres de mémoire.
Ils ajoutent que le changement serait visible dans l’interface de mémoire de Copilot, tout en ne produisant pas de signaux classiques : pas d’entrée de fichier, de connexion réseau, de processus, ni de log aisément repérable par les outils de sécurité.
Le rôle des correctifs : suivi de sécurité et calendrier
Sur le plan de la remédiation, Varonis indique avoir notifié Microsoft en décembre 2025. Les correctifs auraient ensuite été déployés le 18 août 2026.
Dans le guide de mises à jour sécurité de Microsoft, CoSnitch est suivi via l’identifiant CVE-2026-24301.
Les chercheurs précisent également que leur recherche concerne Copilot Personal (l’assistant consommateur). Le rapport ne conclut pas que le même comportement s’appliquerait à Microsoft 365 Copilot.
Liens avec d’autres recherches sur la mémoire
Cette divulgation s’inscrit dans un contexte plus large. Varonis rappelle notamment une recherche antérieure documentant des mécanismes de mémoire indésirables lors de flux de synthèse, coordonnée avant publication.
En parallèle, Microsoft a publié, à une date proche, une position technique sur la classe d’attaques associées à l’injection de prompts et aux mécanismes de mémoire. Le message met l’accent sur l’existence de contrôles et sur la sanitisation lors des écritures de mémoire dans le cadre de Microsoft 365 Copilot, ainsi que sur l’enregistrement d’événements dans des journaux d’audit organisationnels.
Le détail présenté dans l’article source reste orienté sur la version consommateur : les éléments cités portent sur Copilot Personal et les comportements associés observés par les chercheurs.
Conseils pratiques pour réduire le risque
Varonis recommande plusieurs mesures concrètes :
- Vérifier les applications connectées à Copilot et déconnecter celles qui ne sont pas nécessaires au quotidien.
- Considérer l’assistant comme un acteur privilégié pour l’analyse d’accès : surveiller les anomalies et revoir régulièrement les permissions.
- Adopter une vigilance accrue vis-à-vis des liens qui ouvrent ou interagissent avec un assistant d’IA.
Le rapport ne mentionne aucune mise à jour spécifique côté client à installer par les utilisateurs. Autrement dit, la correction annoncée semble relever du côté service.
Ce qu’il faut retenir
Avec CoSnitch, Varonis Threat Labs décrit un ensemble de failles pouvant permettre, via un lien et des conditions précises, l’exécution automatique d’instructions et le récupération de données depuis des applications connectées. En complément, le rapport met aussi en lumière un mécanisme d’écriture persistante en mémoire déclenché par la synthèse web.
La bonne nouvelle, d’après la divulgation : les chercheurs indiquent ne pas avoir observé d’exploitation active à ce stade, et Microsoft aurait publié des correctifs le 18 août 2026. En attendant, la priorité reste la réduction des connecteurs autorisés et la prudence lors de l’ouverture de liens qui interagissent avec l’assistant.
Source: https://thehackernews.com/2026/08/microsoft-copilot-personal-flaws-could.html
