Varonis Threat Labs đã tiết lộ ba lỗ hổng trong Microsoft Copilot Personal mà họ cho biết có thể cho phép một cú nhấp chuột vào một liên kết được dàn dựng để âm thầm trích xuất dữ liệu từ các ứng dụng được kết nối và các thông tin khác có sẵn trong phiên làm việc Copilot của nạn nhân.
Các lỗi này, được các nhà nghiên cứu đặt tên chung là CoSnitch, xoay quanh một tham số URL không được tài liệu hóa mà chính trợ lý ảo này đã tiết lộ trong quá trình thử nghiệm.
Công ty cho biết họ đã báo cáo vấn đề này cho Microsoft vào tháng 12 năm 2025 và các bản vá đã được phát hành vào ngày 18 tháng 8 năm 2026.
CoSnitch được theo dõi dưới mã hiệu CVE-2026-24301 trong Hướng dẫn Cập nhật Bảo mật của Microsoft. Nghiên cứu chỉ đích danh Copilot Personal, trợ lý dành cho người tiêu dùng được lưu trữ tại copilot.microsoft.com, và không khẳng định rằng hành vi tương tự ảnh hưởng đến Microsoft 365 Copilot.
Khám phá tham số ẩn thông qua "Meta-hacking"
Các nhà nghiên cứu cho biết họ không tìm thấy bằng chứng nào cho thấy CoSnitch đã bị khai thác trong thực tế. Họ tìm thấy tham số này bằng cách liên tục hỏi Copilot lý do tại sao một prompt không thể chạy mà không có sự tương tác của người dùng, một phương pháp mà công ty gọi là meta-hacking. Mỗi lần từ chối đều đi kèm với một lý giải kỹ thuật, và cuối cùng trợ lý đã nêu tên một tham số, autorun=1, cùng với các điều kiện phiên làm việc mà nó hoạt động và các biện pháp bảo vệ lẽ ra phải vô hiệu hóa nó.
Khi các nhà nghiên cứu xây dựng URL chính xác như mô tả, tham số mà Copilot nói rằng không còn hoạt động nữa đã thực thi thành công. Varonis nhận định trong báo cáo rằng Copilot "không bị xâm nhập; nó đã bị 'dắt mũi'".
URL tấn công kết hợp autorun=1 với tham số q hiện có. Trong báo cáo CoSnitch, Varonis cho biết chỉ riêng tham số q chỉ điền trước vào hộp nhập liệu và cả hai tham số phải cùng xuất hiện để prompt tự kích hoạt mà không cần thao tác của người dùng.
Nghiên cứu Reprompt trước đó của họ cũng đã sử dụng q làm điểm nhập Parameter-to-Prompt trong một cuộc tấn công chỉ bằng một cú nhấp chuột. Varonis cho biết một khi quá trình thực thi CoSnitch bắt đầu, prompt sẽ chạy cho đến khi hoàn tất ngay cả khi nạn nhân đóng tab Copilot ngay sau khi trang được tải.
Ba lỗ hổng chính trong chuỗi tấn công
Varonis nhóm các phát hiện thành ba lỗ hổng. Hai lỗ hổng đầu tiên tạo thành lộ trình trích xuất dữ liệu qua một cú nhấp chuột, trong khi lỗ hổng thứ ba là một lộ trình đầu độc bộ nhớ (memory-poisoning) riêng biệt được kích hoạt thông qua tóm tắt web:
- Tự động thực thi prompt: Hai tham số kết hợp với nhau khiến một prompt do kẻ tấn công cung cấp chạy ngay khi tải trang bên trong phiên làm việc đã xác thực của nạn nhân, với các khả năng tương tự như một chỉ dẫn do người dùng nhập.
- Trích xuất dữ liệu qua các dịch vụ được kết nối: Prompt được chèn vào có thể truy vấn các dịch vụ mà người dùng đã ủy quyền, mã hóa dữ liệu lấy được và sử dụng tính năng tìm nạp URL tích hợp của Copilot để gửi nó đến một webhook do kẻ tấn công kiểm soát. Kỹ thuật này không cấp cho Copilot các quyền mới của nhà cung cấp hoặc mở rộng quyền truy cập hiện có của người dùng.
- Ghi bộ nhớ vĩnh viễn từ các trang được tóm tắt: Một trang web được dàn dựng, khi được Copilot tóm tắt, có thể khiến trợ lý ghi các chỉ dẫn của kẻ tấn công vào kho lưu trữ bộ nhớ của người dùng, từ đó định hình các phiên làm việc sau này.
Trong thử nghiệm, các nhà nghiên cứu cho biết Copilot đã trả về nội dung thư, dòng tiêu đề, siêu dữ liệu người gửi và người nhận từ các tài khoản email được kết nối; tiêu đề lịch, người tham gia, thời gian và địa điểm; tên tệp và tóm tắt siêu dữ liệu từ Google Drive; toàn bộ nội dung hội thoại trước đó từ lịch sử chat; và các hướng dẫn đã lưu cùng các quy tắc do người dùng xác định được giữ trong kho lưu trữ bộ nhớ.
Tài liệu về các trình kết nối của Microsoft cho biết người dùng phải ủy quyền cho các dịch vụ trước khi Copilot có thể truy cập chúng và các dịch vụ được kết nối sẽ xử lý các yêu cầu bằng quyền hiện có của người dùng. Microsoft khẳng định Copilot không mở rộng quyền truy cập đó và chỉ làm việc với nội dung mà tài khoản đã có quyền xem.
Varonis cho biết yêu cầu trích xuất dữ liệu không thể phân biệt được ở lớp mạng với các lần tìm nạp mà Copilot thực hiện khi tóm tắt một trang web thông thường, và việc mã hóa base64 có thể giúp tránh các bộ lọc quét các yêu cầu gửi đi để tìm các mẫu nhạy cảm như thông tin đăng nhập.
Về lộ trình bộ nhớ riêng biệt, công ty cho biết một chỉ dẫn được chèn vào sẽ tồn tại qua các lần thay đổi mật khẩu, thu hồi phiên làm việc và đăng ký lại thiết bị, và vẫn hoạt động trong các cuộc trò chuyện sau này cho đến khi người dùng xóa nó khỏi cài đặt bộ nhớ của Copilot.
Varonis cũng lưu ý rằng việc ghi vào bộ nhớ không tạo ra tiến trình, tệp tin, kết nối mạng hoặc mục nhật ký (log) nào mà các công cụ bảo mật có thể gắn cờ, trong khi thay đổi này chỉ có thể nhìn thấy trong giao diện bộ nhớ của Copilot.
Các báo cáo tương tự và phản hồi từ Microsoft
Lộ trình tóm tắt web không phải là lần đầu tiên các vấn đề về bộ nhớ của Copilot được báo cáo cho Microsoft. Nhà nghiên cứu Håkon Måløy đã ghi lại một trang do kẻ tấn công kiểm soát có thể duy trì một bộ nhớ ngoài ý muốn khi nạn nhân sử dụng luồng tóm tắt của Microsoft 365 Copilot. Johann Rehberger cũng báo cáo riêng biệt về việc ghi và xóa bộ nhớ thông qua indirect prompt injection trong Microsoft 365 Copilot.
Microsoft đã đưa ra quan điểm của mình về loại hình tấn công này trong một bài đăng trên blog bảo mật vào ngày 22 tháng 6. Công ty cho biết các bộ nhớ đều trải qua quá trình khử khuẩn (sanitization) và kiểm tra prompt-injection khi ghi. Microsoft 365 Copilot được thiết kế để chạy các kiểm tra Task Adherence trên mỗi lần ghi bộ nhớ rõ ràng, và các cập nhật bộ nhớ được ghi lại vào nhật ký kiểm tra (audit logs) của tổ chức.
Varonis khuyên người dùng nên xem xét các ứng dụng nào đang được kết nối với Copilot và ngắt kết nối những ứng dụng không thực sự cần thiết, coi trợ lý ảo này như một "nhân viên nội bộ có đặc quyền" để xem xét quyền truy cập và phát hiện bất thường, đồng thời thận trọng với các liên kết mở ra các trợ lý AI.
Công ty không xác định bản cập nhật ứng dụng khách nào mà người dùng cần cài đặt. Varonis cho biết các bộ nhớ được chèn vào sẽ tồn tại cho đến khi bị xóa một cách rõ ràng; thông tin tiết lộ không nêu rõ liệu biện pháp khắc phục của Microsoft có hồi tố để xóa các mục bộ nhớ được tạo trước khi sửa lỗi hay không.
