A Varonis 2025 decemberében jelentette a problémákat a Microsoftnak. A kutatók szerint a Microsoft 2026. augusztus 18-án szerveroldali javításokat telepített, így a felhasználóknak nem kellett külön alkalmazásfrissítést telepíteniük.
A Microsoft több, a Copilot fogyasztói verzióját érintő sérülékenységet javított, amelyek kihasználásával a támadók egyetlen rosszindulatú hivatkozást rejtett adatlopási csatornává alakíthattak volna. A támadás során e-mailek, naptáradatok, felhőben tárolt fájlok metaadatai, korábbi beszélgetések és akár a mesterséges intelligencia asszisztens memóriájában tárolt információk is illetéktelen kezekbe kerülhettek volna.
A három sérülékenységet a Varonis Threat Labs kutatói együttesen CoSnitch névre keresztelték. A hibák a Microsoft Copilot Personal fogyasztói szolgáltatást érintették, amely a copilot.microsoft.com oldalon keresztül érhető el.
A támadási lánc legfontosabb eleme CVE-2026-24301 azonosítót kapott a Microsoft Security Update Guide rendszerében.
Jelenleg nincs bizonyíték arra, hogy támadók a javítás előtt aktívan kihasználták volna a CoSnitch sérülékenységeit.
Az eset azonban egy sokkal szélesebb biztonsági problémára világít rá: a generatív AI-asszisztensek egyre több szolgáltatáshoz – levelezéshez, naptárakhoz, felhőtárhelyekhez, korábbi beszélgetésekhez és tartós memóriához – kapnak hozzáférést.
Egy támadónak ezért nem feltétlenül kell külön-külön kompromittálnia ezeket a szolgáltatásokat. Elég lehet manipulálnia azt az AI-asszisztenst, amelyhez a felhasználó már korábban hozzáférést adott.
A Varonis hangsúlyozta, hogy a támadás nem adott új jogosultságokat a Copilotnak, és nem kerülte meg a Gmail, Google Drive, Google Calendar, Outlook vagy OneDrive hozzáférés-vezérlését.
Ehelyett arra kényszerítette volna a Copilotot, hogy visszaéljen azokkal a jogosultságokkal, amelyeket maga a felhasználó már engedélyezett.
Ez egyben korlátozza is a támadás hatását: csak olyan információ szerezhető meg, amelyhez az érintett felhasználó a Copiloton keresztül egyébként is hozzáférhet.
Ugyanakkor pontosan ez teszi különösen veszélyessé a sérülékenységet. Az AI-asszisztens egyfajta adat-aggregációs réteggé válik, amely több különböző fiókból képes adatokat keresni, feldolgozni és – megfelelő védelem hiányában – továbbítani.
Egy dokumentálatlan paraméter automatikusan elindíthatta a támadó promptját
A CoSnitch első eleme azzal kapcsolatos, ahogyan a Copilot a webcímbe ágyazott paramétereken keresztül promptokat fogadott.
A Copilot támogatott egy q paramétert, amellyel szöveg tölthető be az asszisztens promptmezőjébe.
Önmagában ez a funkció a Varonis vizsgálata szerint csak előre kitöltötte a mezőt, de nem indította el automatikusan a prompt végrehajtását.
A kutatók azonban felfedeztek egy második, dokumentálatlan paramétert:
autorun=1
Ha a támadó a q paramétert az autorun=1 értékkel kombinálta, a Copilot a link megnyitásakor automatikusan végrehajtotta a megadott promptot.
Nem volt szükség:
- második kattintásra;
- megerősítésre;
- a prompt kézi elküldésére.
Ezzel egy látszólag normális Copilot-link támadási mechanizmussá válhatott.
A támadó például elküldhette volna azt:
- e-mailben;
- közvetlen üzenetben;
- weboldalon;
- online hirdetésben;
- más phishing csatornán.
Ha a bejelentkezett felhasználó megnyitotta a linket, az attacker által létrehozott prompt végrehajtása elindulhatott a felhasználó hitelesített Copilot-sessionjében.
A valódi biztonsági probléma tehát nem egyszerűen az volt, hogy a felhasználó megnyitott egy Copilot-oldalt.
A kritikus határ ott sérült, hogy egy külső fél által URL-en keresztül átadott adatot a rendszer a hitelesített felhasználó szándékos utasításaként kezelt.
A Varonis szerint a rosszindulatú prompt a végrehajtás megkezdése után akkor is tovább futhatott, ha a felhasználó azonnal bezárta a böngészőfület.
Ez jelentősen csökkentette annak esélyét, hogy az áldozat időben felismerje és megszakítsa a szokatlan folyamatot.
Maga a Copilot árulhatta el a rejtett paramétert
A kutatás egyik különösen érdekes eleme az volt, hogyan találták meg az autorun=1 paramétert.
A Varonis kutatói többször kérdezgették a Copilotot arról, hogy miért nem lehet egy promptot további felhasználói interakció nélkül végrehajtani.
Az asszisztens először nem adott közvetlen megoldást, de válaszaiban egyre több technikai részletet közölt saját működéséről és korlátozásairól.
Végül a Copilot megnevezte az autorun=1 paramétert, leírta, milyen körülmények között működött korábban, és azt is közölte, hogy elvileg már le kellett volna tiltani.
A kutatók ezután elkészítettek egy ilyen paramétert használó hivatkozást, és kiderült, hogy a funkció valójában továbbra is működött.
A Varonis ezt a módszert „meta-hackingnek” nevezte: az AI saját korlátozásairól adott magyarázatait használják fel arra, hogy a körülötte lévő alkalmazásban sérülékenységet találjanak.
Ez nem feltétlenül jelenti azt, hogy a nyelvi modell hozzáfért a Microsoft forráskódjához vagy belső műszaki dokumentációjához. Egy AI-asszisztens technikai magyarázata lehet téves vagy hallucinált is.
Ebben az esetben azonban a modell által közölt információ helyes, tesztelhető nyomnak bizonyult.
Az eset fontos tanulsága, hogy biztonsági mechanizmust nem lehet arra építeni, hogy:
- a modell „nem árulja el” egy rejtett paraméter nevét;
- vagy mindig megtagadja az erről szóló információ átadását.
Az alkalmazásnak magának kell kikényszerítenie a biztonsági határokat.
A rosszindulatú prompt hozzáférhetett a csatlakoztatott szolgáltatásokhoz
Az automatikus promptindítás önmagában is súlyos probléma lett volna, de a második sérülékenység lényegesen nagyobb kockázatot teremtett.
Miután a beadott utasítás futni kezdett, ugyanazokat a képességeket használhatta, amelyek a felhasználó Copilot-sessionjében rendelkezésre álltak.
A rosszindulatú prompt arra utasíthatta a Copilotot, hogy keressen az előzőleg csatlakoztatott szolgáltatásokban, gyűjtse össze a találatokat, majd készítse elő azokat továbbításra.
A Varonis tesztjeiben állítása szerint többek között a következőket sikerült lekérnie:
- e-mailek teljes szövege;
- e-mail tárgya;
- feladó és címzett adatai;
- naptári események címei;
- dátumok és időpontok;
- résztvevők;
- helyszínek;
- Google Drive-ban tárolt fájlok nevei és metaadatai;
- korábbi Copilot-beszélgetések;
- a Copilot tartós memóriájában tárolt információk.
A Copilot tehát nem külön, illetéktelenül jelentkezett be ezekbe a szolgáltatásokba.
A meglévő, felhasználó által már engedélyezett integrációkat használta.
Ez az úgynevezett confused deputy, vagyis „megtévesztett közvetítő” probléma egyik AI-specifikus változata.
A Copilot jogosult a felhasználó nevében cselekedni, de támadó által kontrollált bemenet hatására elveszítheti annak megkülönböztetését, hogy:
- ki adta valójában az utasítást;
- és miért kérik az adott művelet végrehajtását.
A hagyományos hozzáférés-vezérlés közben akár mindenhol helyesen működhet.
A felhasználó:
- hitelesített;
- a connector engedélyezett;
- a lekért adat az account jogosultsági körén belül található.
A kudarc az intention layer, vagyis a felhasználói szándék felismerésének szintjén történik.
A Copilot saját webes lekérési funkciójával történhetett az adatkiszivárogtatás
Az adat összegyűjtése csak a támadás egyik fele volt. A CoSnitchnek arra is szüksége volt, hogy az adatot kijuttassa a Copilot környezetéből.
A Varonis szerint a rosszindulatú prompt képes volt:
- kódolni a megszerzett információt;
- beilleszteni azt egy támadó által kontrollált webhook URL-jébe;
- majd utasítani a Copilotot, hogy saját web-fetching képességével kérje le ezt az URL-t.
Amikor a külső szerver megkapta a kérést, a kódolt információ az URL-ben jelent meg, így a támadó vissza tudta fejteni.
A kutatók szerint ez a hálózati művelet hasonlíthatott arra a normál működésre, amikor a Copilot egy weboldalt kér le vagy foglal össze.
Ez azt jelenti, hogy hagyományos hálózatfigyeléssel a támadás nehezebben különböztethető meg a legitim AI-forgalomtól.
Az információ Base64 vagy más kódolással történő elrejtése tovább csökkentheti azoknak a megoldásoknak a hatékonyságát, amelyek csak könnyen felismerhető érzékeny adatokat keresnek az outbound forgalomban.
Fontos: a Base64 nem titkosítás. Egy biztonsági elemző könnyen vissza tudja fejteni.
Arra azonban alkalmas, hogy a továbbított adat ne jelenjen meg azonnal olvasható formában.
A támadás rámutat egy alapvető problémára:
Ha egy AI-asszisztens érzékeny adatokat tud olvasni, és közben tetszőleges külső URL-eket is képes elérni, akkor elméletileg rendelkezik az adatkiszivárogtatáshoz szükséges két alapvető képességgel.
Külön támadási út vezetett a Copilot tartós memóriájának mérgezéséhez
A harmadik CoSnitch-sérülékenység nem az URL-paraméterekre épült.
A Copilot tartós memóriáját célozta.
Az AI-memória lehetővé teszi, hogy az asszisztens különböző beszélgetések között megőrizzen:
- felhasználói preferenciákat;
- szabályokat;
- személyes információkat;
- más hosszabb távon releváns adatokat.
Ez kényelmesebb felhasználói élményt biztosít, ugyanakkor tartós támadási felületet is létrehoz.
A Varonis olyan weboldalt készített, amely az ember számára normális tartalmat jelenített meg, de olyan rejtett vagy beágyazott instrukciókat is tartalmazott, amelyeket a Copilot parancsként értelmezhetett.
Ha az áldozat megkérte a Copilotot, hogy foglalja össze az oldalt, az asszisztens ahelyett, hogy kizárólag adatként kezelte volna a weboldal tartalmát, támadói utasításokat hajthatott végre, és információt menthetett saját memóriájába.
Ez indirect prompt injection, vagyis közvetett promptinjekció.
A rosszindulatú parancs nem közvetlenül a felhasználótól származik.
Ehelyett olyan tartalomban található, amelyet az asszisztensnek fel kell dolgoznia:
- weboldalon;
- dokumentumban;
- e-mailben;
- vagy más külső adatforrásban.
A biztonsági kudarc akkor következik be, amikor az AI nem képes különbséget tenni:
- a feldolgozandó információ;
- és a végrehajtandó utasítás
között.
A memóriamérgezés túlélhette a jelszócserét és a sessionök visszavonását
Mivel a támadó által beadott információ bekerülhetett a Copilot tartós memóriájába, a hatása későbbi beszélgetésekben is megmaradhatott.
A Varonis szerint a rosszindulatú memória-bejegyzés túlélte:
- a jelszó megváltoztatását;
- sessionök visszavonását;
- új device-regisztrációt.
Ezek a lépések normál esetben hatékonyak lehetnek kompromittált credentialök vagy tokenek ellen.
A Copilot memóriájában tárolt információt azonban nem feltétlenül érintik.
A mérgezett memória ezért addig maradhatott aktív, amíg a felhasználó kézzel nem törölte.
Ez jelentősen eltér egy hagyományos, session-alapú támadástól.
A támadónak nem feltétlenül kell azonnal adatot lopnia.
Egy manipulált memória-bejegyzés később aktiválódhat, amikor:
- a felhasználó más témában kérdez;
- az AI új érzékeny adatokhoz fér hozzá;
- vagy a memóriában tárolt utasítás relevánssá válik.
A memória egy pillanatnyi promptinjekcióból tartós befolyást hozhat létre
A Microsoft maga is figyelmeztetett már arra, hogy a tartós AI-memória megváltoztatja a promptinjekció biztonsági következményeit.
A vállalat 2026 júniusában arról írt, hogy egy támadó képes lehet több lépésből álló műveletet felépíteni az AI memóriáján keresztül.
Egy korábbi interakcióban elhelyezett rosszindulatú információ később befolyásolhatja:
- a modell döntéseit;
- tool callokat;
- adatlekérést;
- más műveleteket.
A Microsoft ezért az AI memóriát egyszerre tekinti:
- érzékeny felhasználói adatnak;
- és a modell viselkedését befolyásoló biztonsági komponensnek.
A Microsoft 365 Copilot esetében a vállalat többek között:
- memóriabejegyzés-szűrést;
- prompt injection classifier-eket;
- Task Adherence ellenőrzéseket
alkalmaz.
A vállalati Microsoft 365 Copilot környezetben a memória módosításai bizonyos esetekben a Microsoft Defender Advanced Hunting és Sentinel rendszerekben is megfigyelhetők.
Fontos azonban a két termék elkülönítése.
A CoSnitch a Copilot Personal fogyasztói szolgáltatást érintette.
Ez önmagában nem bizonyítja, hogy ugyanazok a sérülékenységek a Microsoft 365 Copilot vállalati verziójában is jelen voltak.
Nem ez volt az első Copilot memóriamérgezési probléma
A CoSnitch előtt több független kutatás is rámutatott a Copilot és más AI-asszisztensek promptinjekciós és memóriakezelési problémáira.
Håkon Måløy biztonsági kutató például korábban demonstrálta, hogy egy támadó által kontrollált weboldal képes volt olyan információt elhelyezni a Microsoft 365 Copilot memóriájában, amely későbbi beszélgetésekre is hatással volt.
Proof of conceptjében a memóriamérgezés miatt a Copilot több későbbi sessionben is svédül válaszolt, beleértve Outlook és Word használatát is, egészen addig, amíg a felhasználó manuálisan el nem távolította a memóriabejegyzést.
Måløy az alapvető problémát context collapse néven írta le.
Ennek során eltérő bizalmi szintekről származó információk egyetlen közös modellkontextusba kerülnek.
Így egy alacsony megbízhatóságú weboldal tartalma a modell számára összekeveredhet a magasabb bizalmi szintű, közvetlen felhasználói utasításokkal.
Johann Rehberger biztonsági kutató külön kutatásban Copilot környezeteket érintő:
- command injection;
- adat-exfiltrációs;
- memóriamanipulációs
problémákat dokumentált.
A kutatás egyes részeihez CVE-2026-24299 azonosító is kapcsolódik.
A hasonló sérülékenységek ismételt megjelenése nem feltétlenül jelenti azt, hogy egyetlen univerzális Copilot-hiba maradt javítatlanul.
A különböző:
- Copilot termékek;
- bemeneti csatornák;
- memóriaműveletek;
- tool interfészek
különböző implementációkkal rendelkezhetnek.
A közös probléma azonban ugyanaz:
Az AI-asszisztensnek képesnek kell lennie feldolgozni megbízhatatlan adatot anélkül, hogy az abban található utasítások megkapnák a felhasználó jogosultsági szintjét.
A CoSnitch a korábbi egykattintásos Copilot-támadásokra épít
A Varonis már korábban is talált hasonló problémákat.
A Reprompt nevű kutatás szintén a Copilot q URL-paraméterét használta támadó által kontrollált utasítások bejuttatására.
A támadás több prompt összekapcsolásával próbálta megkerülni a védelmi korlátozásokat, és személyes információt kinyerni egyetlen manipulált link megnyitása után.
A Microsoft a hibát a nyilvános publikáció előtt javította.
A Varonis később a SearchLeak sérülékenységi láncot is bemutatta, amely a Microsoft 365 Copilotot érintette. A támadás során a vállalati AI-asszisztens érzékeny szervezeti adatokat kereshetett meg, majd egy megbízhatónak tűnő AI-workflow segítségével továbbíthatta azokat.
A kutatócég Atlassian Rovo esetében is talált hasonló, egyetlen kattintással aktiválható támadási útvonalat.
A RovoBlast nevű sérülékenységben egy rovoChatPrompt URL-paraméter segítségével lehetett külső utasítást juttatni egy bejelentkezett felhasználó AI-sessionjébe.
A hasonlóság fontos tanulságot hordoz:
az URL-ből promptot generáló funkciókat ugyanolyan szigorúan kell kezelni, mint a deep linkeket, cross-site requesteket vagy más hagyományos alkalmazásvezérlő interfészeket.
A hagyományos biztonsági monitoring nehezen észlelheti az ilyen támadásokat
A CoSnitch új láthatósági problémát teremt az endpoint- és hálózatbiztonsági rendszerek számára.
A hagyományos EDR-megoldások tipikusan a következőket figyelik:
- process creation;
- fájlváltozások;
- persistence;
- code execution;
- hálózati kapcsolatok.
Egy AI memóriájának manipulálása azonban ezek közül egyiket sem feltétlenül generálja az endpointon.
A fontos állapotváltozás a cloudban történik.
Hasonló probléma jelentkezik az exfiltráció során is.
Ha maga a Copilot indít webes lekérést, az outbound kapcsolat Microsoft infrastruktúrából, nem pedig közvetlenül a felhasználó számítógépéről indulhat.
Az endpoint logjaiban ezért csak az jelenhet meg, hogy a felhasználó megnyitotta a Copilotot.
Ezért egyre fontosabbá válik az AI-alkalmazások alkalmazásszintű auditálása.
A védelmi csapatoknak ideális esetben látniuk kellene:
- milyen adatot kért le az asszisztens;
- melyik connector segítségével;
- mely külső URL-eket érte el;
- milyen memóriabejegyzést hozott létre vagy módosított;
- mely toolokat hívta meg;
- és ezek megfeleltek-e a felhasználó tényleges kérésének.
Mit tehetnek most a felhasználók?
Mivel a Microsoft szerveroldalon javította a CoSnitch hibáit, a Varonis szerint nincs olyan kliensoldali Copilot- vagy operációsrendszer-frissítés, amelyet a felhasználóknak külön telepíteniük kellene.
Érdemes azonban átnézni a Copilothoz kapcsolt accountokat és megszüntetni azokat az integrációkat, amelyekre nincs szükség.
Minden aktív connector növeli azt az adatmennyiséget, amelyhez az asszisztens hozzáférhet.
Érdemes továbbá átvizsgálni a Copilot mentett memóriáját, és törölni:
- ismeretlen preferenciákat;
- szokatlan utasításokat;
- olyan személyes információkat, amelyek eredete nem egyértelmű.
Ez különösen azoknak lehet fontos, akik a javítás előtt rendszeresen használták a Copilotot ismeretlen vagy nem megbízható weboldalak összefoglalására.
A Varonis szerint a mérgezett memóriabejegyzések manuális törlésig fennmaradhattak.
Nem világos, hogy a Microsoft a javítás során visszamenőlegesen átvizsgálta vagy eltávolította-e a korábban potenciálisan létrehozott problémás memóriákat.
Egy Microsoft-domain sem jelenti automatikusan azt, hogy a link biztonságos
A CoSnitch egy fontos phishing-tanulságot is hordoz.
Egy link attól még nem biztonságos, hogy:
microsoft.com;copilot.microsoft.com;- vagy más legitim nagyvállalati domainre mutat.
Egy megbízható domain URL-paraméterei továbbra is tartalmazhatnak támadó által kontrollált információt.
Az AI-rendszereknél ez különösen veszélyes, mert egy URL nemcsak egy oldalt nyithat meg, hanem utasítást is közvetíthet az asszisztensnek.
Az AI-asszisztensek önálló biztonsági határrá válnak
A CoSnitch nem törte fel:
- a Google titkosítását;
- a Microsoft accountok hitelesítését;
- az OAuth protokollt;
- és nem telepített malware-t.
A támadás legitim termékfunkciókat kombinált nem kívánt módon.
A lánc leegyszerűsítve:
URL → automatikus prompt → connectorok → érzékeny adatok → külső web fetch → exfiltráció
A memóriaág pedig:
rosszindulatú webtartalom → prompt injection → Copilot memória → tartós befolyás
Minden egyes komponensnek legitim funkciója volt.
A probléma az interakciójukból jött létre.
Ez várhatóan egyre fontosabbá válik, ahogy az AI-asszisztensek egyszerű chatbotból olyan agentekké fejlődnek, amelyek képesek:
- olvasni;
- keresni;
- emlékezni;
- toolokat használni;
- és külső szolgáltatásokban műveleteket végrehajtani.
A hagyományos alkalmazásokban a biztonsági határ általában jól felismerhető műveletekhez kapcsolódik:
- fájlmegnyitás;
- gombnyomás;
- engedély jóváhagyása;
- program futtatása.
AI-rendszerekben ez jóval kevésbé egyértelmű.
Ugyanaz a természetes nyelvű tartalom egyszerre lehet:
- feldolgozandó adat;
- felhasználói kérés;
- és támadó által elhelyezett rejtett instrukció.
A Microsoft javítása lezárta a Varonis által azonosított konkrét CoSnitch támadási útvonalakat.
A nagyobb kihívás azonban továbbra is fennáll: az AI-asszisztenseknek következetesen meg kell tudniuk különböztetni azt az információt, amelyet fel kell dolgozniuk, attól az utasítástól, amelyet valóban jogosultak végrehajtani.
