Falha no Microsoft Copilot permitia roubar e-mails e arquivos após um único clique

Pesquisadores da Varonis Threat Labs divulgaram três vulnerabilidades no Microsoft Copilot Personal que poderiam permitir que um invasor roubasse silenciosamente dados de aplicativos conectados após a vítima clicar em um link especialmente preparado.

As falhas foram agrupadas sob o nome CoSnitch e são rastreadas como CVE-2026-24301. Segundo a Varonis, o problema foi reportado à Microsoft em dezembro de 2025 e recebeu correções em 18 de agosto de 2026.

A pesquisa trata especificamente do Copilot Personal, versão para consumidores disponível em copilot.microsoft.com. O relatório não afirma que o mesmo comportamento afetava o Microsoft 365 Copilot.

Não foram encontradas evidências de exploração da CoSnitch em ataques reais.

Um dos pontos centrais da descoberta foi um parâmetro de URL não documentado chamado "autorun=1". Curiosamente, segundo os pesquisadores, o próprio Copilot revelou sua existência durante os testes.

A Varonis utilizou uma abordagem que chama de "meta-hacking": os pesquisadores perguntaram repetidamente ao Copilot por que determinado prompt não poderia ser executado automaticamente, sem interação do usuário. Nas respostas, o assistente forneceu justificativas técnicas até mencionar o parâmetro "autorun=1", as condições necessárias para seu funcionamento e mecanismos de proteção que supostamente deveriam tê-lo desabilitado.

Quando os pesquisadores construíram uma URL seguindo as informações fornecidas pelo próprio Copilot, descobriram que o parâmetro ainda funcionava.

O ataque combinava "autorun=1" com o parâmetro existente "q". Isoladamente, "q" apenas preenche o campo de entrada do Copilot. Quando os dois eram utilizados juntos, porém, um prompt controlado pelo atacante podia ser executado automaticamente assim que a vítima abrisse o link.

Segundo a Varonis, depois de iniciada, a execução continuava até o fim mesmo que a vítima fechasse imediatamente a aba do Copilot.

Dados de e-mail, calendário e Google Drive podiam ser acessados

A primeira vulnerabilidade identificada permitia a execução automática do prompt dentro da sessão autenticada da vítima. Na prática, a instrução fornecida pelo invasor recebia as mesmas capacidades que um comando digitado diretamente pelo usuário.

A segunda possibilitava utilizar esse prompt para consultar serviços que a vítima já havia autorizado no Copilot. Os dados obtidos podiam ser codificados e enviados para um webhook controlado pelo invasor por meio do próprio recurso de acesso a URLs do assistente.

A técnica não concedia novas permissões ao Copilot nem ampliava os privilégios da vítima. O ataque explorava os acessos que o usuário já havia autorizado.

Durante os testes, os pesquisadores afirmam ter conseguido recuperar conteúdo de mensagens de e-mail, assuntos, remetentes e destinatários. Também foram acessados títulos de eventos do calendário, participantes, horários e locais.

No Google Drive, o Copilot retornou nomes de arquivos e resumos de metadados. Os pesquisadores também conseguiram obter conversas anteriores mantidas com o assistente, além de instruções e regras armazenadas na memória do Copilot.

A documentação da Microsoft estabelece que serviços externos precisam ser previamente autorizados pelo usuário e que os conectores operam utilizando as permissões existentes da conta. Portanto, a exploração não dava ao invasor acesso a informações que o próprio usuário não pudesse acessar por meio do Copilot.

Segundo a Varonis, as solicitações utilizadas para retirar os dados também poderiam parecer, no nível de rede, semelhantes aos acessos realizados normalmente pelo Copilot ao resumir páginas da web. A codificação em Base64 poderia ainda dificultar filtros que procuram determinados padrões de informações sensíveis em requisições de saída.

Ataque também podia manipular a memória do Copilot

A terceira vulnerabilidade identificada pela Varonis utiliza um caminho diferente. Uma página web maliciosa poderia inserir instruções na memória do Copilot quando seu conteúdo fosse resumido pelo assistente.

Essas instruções poderiam permanecer armazenadas e influenciar conversas futuras, caracterizando um ataque de envenenamento de memória por meio de prompt injection indireto.

De acordo com os pesquisadores, a instrução persistente sobrevivia a mudanças de senha, revogação de sessão e novo registro do dispositivo. Ela permanecia ativa até ser explicitamente excluída nas configurações de memória do Copilot.

A Varonis afirma ainda que essa alteração não gerava processo, arquivo ou conexão de rede específica que pudesse ser facilmente identificada por ferramentas tradicionais de segurança. A instrução armazenada podia ser visualizada na própria interface de memória do Copilot.

Problemas relacionados à manipulação da memória de assistentes da Microsoft já haviam sido reportados anteriormente. Pesquisadores como Håkon Måløy e Johann Rehberger documentaram técnicas envolvendo prompt injection e memória tanto no Microsoft 365 Copilot quanto no assistente voltado ao consumidor.

A Microsoft também abordou essa classe de ataques em junho, explicando que, no Microsoft 365 Copilot, as memórias passam por mecanismos de sanitização e detecção de prompt injection. A empresa também afirmou que atualizações de memória no ambiente corporativo podem ser registradas em logs de auditoria e consultadas por ferramentas como Defender Advanced Hunting e Sentinel. Essas informações, porém, dizem respeito ao Microsoft 365 Copilot, e não necessariamente ao Copilot Personal analisado pela Varonis.

Microsoft corrigiu as vulnerabilidades

A Varonis recomenda que usuários revisem quais aplicativos estão conectados ao Copilot e desconectem aqueles que não são necessários, além de terem cautela com links que abrem diretamente assistentes de inteligência artificial.

Não foi indicada nenhuma atualização de cliente que precise ser instalada pelos usuários. Segundo a Varonis, a Microsoft implementou as correções em 18 de agosto.

O relatório também não esclarece se a correção remove automaticamente eventuais instruções maliciosas gravadas na memória antes da atualização. A Varonis afirma que memórias injetadas permanecem armazenadas até serem explicitamente excluídas.

A descoberta ocorre menos de duas semanas depois de a mesma equipe divulgar o RovoBlast, ataque de um clique contra o assistente Rovo, da Atlassian. Nesse caso, um parâmetro de URL também podia ser utilizado para inserir instruções controladas pelo invasor na sessão autenticada de um usuário.