Vulnerabilidades en Microsoft Copilot Personal
Recientemente, Varonis Threat Labs ha descubierto tres vulnerabilidades en Microsoft Copilot Personal que podrían permitir que un clic en un enlace malicioso extraiga datos de aplicaciones conectadas y otra información accesible durante la sesión de Copilot del usuario. Las fallas, que han sido bautizadas como CoSnitch, se basan en un parámetro de URL no documentado que el asistente reveló accidentalmente durante las pruebas.
Detalles de la vulnerabilidad
La compañía notificó a Microsoft sobre estas vulnerabilidades en diciembre de 2025, y los parches correspondientes se implementaron el 18 de agosto de 2026. CoSnitch está identificado como CVE-2026-24301 en la Guía de Actualización de Seguridad de Microsoft. Los investigadores aclararon que estos problemas afectan específicamente a Copilot Personal, el asistente disponible en copilot.microsoft.com, y no se ha confirmado que el mismo comportamiento influya en Microsoft 365 Copilot.
Los investigadores no han encontrado evidencia de que CoSnitch haya sido explotado en la naturaleza. Alcanzaron el parámetro a través de un enfoque conocido como meta-hacking, en el que se preguntó repetidamente a Copilot por qué un aviso no podía ejecutarse sin interacción del usuario. Cada respuesta contenía una justificación técnica, y eventualmente, el asistente mencionó el parámetro autorun=1 junto con las condiciones de sesión bajo las cuales funcionaba. Cuando los investigadores crearon la URL exactamente como se describió, el parámetro que se había mencionado se ejecutó.
Mecanismo de ataque
El ataque combina el parámetro autorun=1 con el parámetro q existente. En el informe sobre CoSnitch, se indica que q por sí solo solo pre-completa el cuadro de entrada, y que ambos parámetros deben estar presentes para que el aviso se ejecute automáticamente sin la intervención del usuario. Una vez que comienza la ejecución de CoSnitch, el aviso se completa incluso si la víctima cierra la pestaña de Copilot inmediatamente después de que la página se carga.
Varonis ha clasificado sus hallazgos en tres vulnerabilidades: exfiltración de datos, ejecución automática de avisos y escrituras persistentes en memoria. La primera permite que un aviso proporcionado por un atacante se ejecute al cargar la página dentro de la sesión autenticada de la víctima, utilizando las mismas capacidades que un comando escrito por el usuario.
La inyección de un aviso puede consultar servicios que el usuario ya ha autorizado, codificar los datos recuperados y emplear la función de búsqueda de URL de Copilot para enviarlos a un webhook controlado por el atacante. En este caso, la técnica no otorga nuevos permisos a Copilot ni amplía el acceso existente del usuario.
Consecuencias y mitigaciones
Además, una página web diseñada específicamente, al ser resumida por Copilot, puede provocar que el asistente escriba instrucciones del atacante en el almacenamiento de memoria del usuario, lo que puede influir en las sesiones posteriores. En pruebas, se observó que Copilot retornaba metadatos de cuentas de correo conectadas, títulos de calendarios, nombres de archivos y resúmenes de metadatos de Google Drive, así como contenido completo de conversaciones previas.
La documentación de conectores de Microsoft establece que los usuarios deben autorizar los servicios antes de que Copilot pueda acceder a ellos, y que los servicios conectados procesan las solicitudes utilizando los permisos existentes del usuario. Microsoft ha afirmado que Copilot no amplía ese acceso, funcionando únicamente con contenido que la cuenta ya tiene permiso para ver.
Varonis ha destacado que la solicitud de exfiltración es indistinguible en el nivel de red de las búsquedas que Copilot realiza al resumir una página web ordinaria. Además, el uso de base64 para codificar datos puede ayudar a evitar que filtros escaneen las solicitudes salientes en busca de patrones sensibles, como credenciales.
El camino de memoria separado, por su parte, indica que una instrucción inyectada sobrevive a cambios de contraseña, revocaciones de sesión y re-inscripciones de dispositivos, permaneciendo activa en conversaciones posteriores hasta que el usuario la elimine de la configuración de memoria de Copilot. Varonis también ha señalado que la escritura en memoria no genera ningún proceso, archivo, conexión de red o entrada de registro que las herramientas de seguridad puedan identificar, siendo el cambio visible únicamente en la interfaz de memoria de Copilot.
Este descubrimiento subraya la necesidad de una mayor vigilancia y protección en el uso de asistentes de inteligencia artificial, especialmente en lo que respecta a la privacidad y la seguridad de los datos sensibles.