Microsoft Copilot выявил собственный недостаток: по одной ссылке можно просматривать ваш почтовый ящик

Исследователи из компании Varonis заставили искусственный интеллект Microsoft Copilot раскрыть собственное уязвимое место. Они постоянно спрашивали, почему та или иная команда не может быть выполнена самостоятельно. Copilot объяснял причины каждого отказа. В ходе отказа он указал на недокументированный параметр адресной строки, а также на меры безопасности, которые Microsoft применила в отношении него. Исследователи сформировали адрес в точном соответствии с описанием. Он сработал.

Компания Microsoft устранила эту уязвимость 18 августа. Она зарегистрирована под номером CVE-2026-24301 и классифицирована как критическая с оценкой CVSS 8,8 из 10. CVSS — это отраслевая стандартная шкала оценки серьезности уязвимостей безопасности. Уязвимость затронула потребительскую версию Copilot — приложение, которое Microsoft недавно объединила с подписочным тарифом.

Один клик — и помощник начал работать на посторонних

Для атаки, которую компания Varonis назвала CoSnitch, требовалась лишь ссылка. Нажатие на неё приводило к запуску Copilot в рамках сеанса авторизации самого пользователя-жертвы. Дополнительный параметр в адресе обеспечивал немедленное выполнение команды злоумышленника без каких-либо запросов и нажатия кнопки отправки. Затем Copilot выполнял поиск в подключенном почтовом ящике, календаре и облачном хранилище, упаковывал найденные данные в веб-адрес и отправлял их. Для инструментов безопасности, отслеживающих сеть, это выглядело как обычная страница, которую Copilot получил задание обобщить.

В ходе тестов исследователей таким образом были извлечены пароли, которые кто-то просто отправил по электронной почте. Наряду с информацией о встречах, включая участников и места проведения, именами файлов с облачного диска и историей предыдущих чатов.

Почему новый пароль не помог

Самая опасная часть кроется в долговременной памяти. Copilot запоминает информацию, выходящую за рамки отдельного разговора. Если попросить его подготовить резюме веб-страницы, содержащей ловушку, он записывает скрытые там инструкции в эту память. Для пользователя ответ выглядел как обычное резюме. То, что помощнику можно таким образом передавать инструкции, не является новым открытием.

Запись осталась на месте. Ни новый пароль, ни выход из всех сессий, ни повторная регистрация устройства не помогли её удалить. Именно эти три шага обычно предпринимают люди, когда подозревают, что кто-то получил доступ к их учётной записи.

Что можно проверить сейчас

Компания Microsoft устранила уязвимость на своих серверах, поэтому никому не нужно ничего устанавливать. Компания Varonis не обнаружила никаких признаков того, что кто-либо действительно использовал эту уязвимость. Об уязвимости было сообщено в декабре 2025 года, а исправление было выпущено восемь месяцев спустя.

Если вы всё же хотите проверить: на сайте copilot.microsoft.com кнопка «Учётная запись» в боковой панели ведёт в хранилище данных. Там перечислены все записи, и вы можете удалить их по одной или все сразу. Всё, что не относится к вам, как правило, бросается в глаза уже при первом просмотре.

CoSnitch — это третья уязвимость Copilot, обнаруженная компанией Varonis в этом году. Две предыдущие уязвимости возникли по одной и той же схеме: один клик по ссылке, которая выглядела безобидно.