Copilot trasforma un click in esfiltrazione di dati
Copilot Personal di Microsoft ha esposto un varco più profondo del solito: un link a un assistente fidato poteva far partire, con un solo click, un flusso che leggeva dati da app collegate e li faceva uscire dalla sessione dell’utente. Varonis ha dato il nome CoSnitch al gruppo di falle e Microsoft ha corretto il problema il 18 agosto 2026; la storia resta rilevante perché il confine di fiducia non era solo la pagina web, ma l’interfaccia di chat che decideva cosa eseguire.
Il meccanismo nasce da un parametro URL non documentato, `autorun=1`, che i ricercatori hanno ottenuto interrogando Copilot fino a fargli rivelare i propri guardrail. Con `q`, il testo veniva precompilato; con `autorun=1`, il prompt partiva appena aperto il link, dentro la sessione autenticata dell’utente, e poteva leggere servizi già autorizzati e usarli per esfiltrare dati tramite le funzioni di fetch del servizio.
Ars Technica descrive il caso come Microsoft 365 Copilot Enterprise, The Hacker News come Copilot Personal su copilot.microsoft.com: la discrepanza sul perimetro non cambia il punto operativo. Se un assistente può rivelare i propri interni di consenso quando viene incalzato, la superficie di rischio non è solo il sito o il browser, ma l’insieme di app collegate che quel prompt può raggiungere.