AI in cloud? Copilot con un semplice link poteva rubare email, chat e dati personali

Microsoft ha corretto CoSnitch (CVE-2026-24301), una serie di vulnerabilità che interessavano Copilot Personal. Gli esperti di Varonis hanno dimostrato come un semplice link potesse avviare automaticamente prompt malevoli, sottrarre dati da servizi collegati e compromettere la memoria persistente dell'assistente, sfruttando esclusivamente i permessi già concessi dagli utenti.

I ricercatori di Varonis hanno scoperto tre vulnerabilità in Microsoft Copilot Personal, collettivamente denominate CoSnitch. Sfruttando questi bug, un utente malintenzionato potrebbe costringere l’assistente virtuale a eseguire un comando dannoso, rubare dati dai servizi connessi o compromettere la memoria persistente di Copilot. I ricercatori sottolineano che la chiave per questo attacco era fornita da Copilot stesso.

Ai problemi è stato assegnato l’identificativo CVE-2026-24301 e i ricercatori affermano di aver notificato a Microsoft i bug scoperti già a dicembre 2025. Di conseguenza, le prime misure di protezione sono state implementate nel febbraio 2026, ma le correzioni complete sono state rilasciate solo questa settimana, il 18 agosto.

Inizialmente, gli specialisti hanno cercato un modo per forzare Copilot a eseguire un comando senza alcuna interazione da parte dell’utente, ma l’assistente IA si è rifiutato, spiegando che era necessaria una conferma esplicita per eseguire il comando. Gli specialisti hanno quindi iniziato a interrogare l’assistente sul perché l’esecuzione automatica del comando fosse impossibile, quali parametri URL fossero responsabili e quali meccanismi di sicurezza fossero in atto.

Varonis ha definito questo approccio “metahacking” perché, in sostanza, i ricercatori hanno utilizzato l’ingegneria sociale contro il modello di intelligenza artificiale stesso.

Ogni errore di Copilot rivelava sempre più dettagli tecnici agli specialisti, e alla fine l’assistente stesso fornì ai ricercatori dettagli su un parametro non documentato ?autorun=1 che, in determinate condizioni, permetteva l’esecuzione automatica del prompt tramite il parametro ?q=. Ovvero, l’URL aveva il formato https://copilot.microsoft.com/?q=&autorun=1.

Si è scoperto che la combinazione di ?q= e ?autorun=1 funzionava davvero: l’attaccante ha semplicemente inviato alla vittima un link appositamente creato (inserendolo in un’e-mail, in un messaggio di messaggistica istantanea, in un codice QR o in una pagina di phishing). Dopo aver cliccato sul link, il browser apriva Copilot all’interno di una sessione già autenticata e il messaggio malevolo si avviava automaticamente, senza premere Invio o alcuna altra conferma.

Copilot ha quindi eseguito il comando, utilizzando le autorizzazioni e l’accesso ai dati utente già concessi. Tramite i servizi connessi, l’assistente è stato in grado di leggere le email e i relativi metadati, estrarre informazioni dal calendario e da Google Drive, accedere alla cronologia delle chat e al contenuto della propria memoria. I ricercatori sottolineano che l’attacco non ha concesso nuove autorizzazioni, ma ha utilizzato esclusivamente l’accesso già garantito a Copilot.

Per esfiltrare i dati, i ricercatori hanno utilizzato la funzione integrata di caricamento URL. Il prompt malevolo raccoglieva i dati desiderati, li codificava in base64 e li aggiungeva all’URL di un server controllato dall’attaccante. Copilot accedeva quindi direttamente a questo URL, inviando i dati all’attaccante. Di conseguenza, il furto di informazioni appariva come una normale richiesta che l’assistente esegue durante la sintesi delle pagine web. Inoltre, la sequenza di azioni avviata continuava a essere eseguita anche se l’utente chiudeva immediatamente la scheda di Copilot.

Una vulnerabilità separata ha permesso di compromettere la memoria persistente di un assistente IA. I ricercatori riferiscono di aver inserito istruzioni nascoste nei metadati delle pagine web e di aver poi chiesto a Copilot di ripeterne il contenuto. Di conseguenza, l’assistente ha memorizzato le istruzioni dannose e ha potuto seguirle nelle conversazioni successive: filtrando le informazioni, modificando le risposte in determinati modi, inoltrando i risultati all’esterno o eseguendo azioni specificate dall’attaccante.

Inoltre, tali artefatti persistevano anche dopo modifiche della password, revoche della sessione e nuove registrazioni del dispositivo. L’utente poteva individuarle ed eliminarle solo manualmente, controllando le impostazioni di memoria.

Il rapporto degli esperti sottolinea che le vulnerabilità hanno interessato solo Copilot Personal, disponibile all’indirizzo copilot.microsoft.com. I documenti di Varonis non affermano che lo stesso meccanismo ?autorun=1 abbia funzionato anche contro Microsoft 365 Copilot.

Tuttavia, va notato che altri problemi relativi a prompt injection e memory poisoning erano già stati riscontrati nella versione enterprise dell’assistente.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response