Microsoft Copilot Personalに、CVE-2026-24301として追跡され「CoSnitch」と呼ばれる重大なワンクリック脆弱性が発見されました。
ゼロデイ脆弱性アラート
この脆弱性を悪用されると、攻撃者に悪意あるCopilotプロンプトを実行され、連携しているOAuthアプリケーションからデータを取得された上、その情報を密かに攻撃者が管理するサーバーへ送信される恐れがあります。
Microsoftは2025年12月にVaronisから責任ある開示を受け、2026年8月18日にこの問題への対処を完了しました。Varonisによれば、現時点で実際に悪用された証拠は確認されていないとのことです。
Microsoft Copilot「CoSnitch」の脆弱性
CoSnitchは、AIアシスタントがユーザーのメール、クラウドファイル、カレンダー、チャット履歴、永続的な記憶に広範なアクセス権を持つことに伴うリスクを浮き彫りにしています。
この攻撃は、GmailやGoogle Driveといったアプリケーションの従来型のソフトウェアバグを突くのではなく、認証済みユーザーに代わって正規のアクションを実行できるCopilotの機能を悪用するものです。
攻撃は、フィッシングメール、チャットメッセージ、悪意あるWebページ、あるいはQRコードを通じて配布される、特別に細工されたCopilotリンクを被害者が開くことで始まります。
研究者らは、ドキュメント化されていないURLパラメータを使うことで、Copilotページの読み込み時に指定のプロンプトを実行させられることを発見しました。これにより、本来ユーザーが手動でリクエストを送信するという通常の要件を回避できてしまいます。
この不正プロンプトが実行されると、被害者の認証済みCopilotセッションと、各コネクタに付与された権限を引き継ぎます。そして、Copilotに連携サービスを検索させ、関連するコンテンツを取得させたうえで、その結果を内蔵のWeb取得機能やURL要約機能を使って外部のエンドポイントへ送信させることが可能になります。
Varonisの調査では、連携先のGmailまたはOutlookアカウント、Googleカレンダー、Google Drive、Copilotのチャット履歴、そしてアシスタントの永続的な記憶からデータを取得できることが実証されました。漏えいの恐れがある情報には、メールの本文、送受信者の詳細、会議情報、ファイルのメタデータ、保存されたユーザー設定、過去のチャットデータなどが含まれます。
データ窃取の手口は、外部URLを取得して要約するというCopilotの通常機能を利用したものでした。不正なプロンプトによって、対象データをモデルのアクティブなコンテキストに集約し、URL転送用にエンコードした上で、そのエンコード済み情報を含む攻撃者管理下のURLへリクエストを送信するようCopilotに指示することができます。
ネットワーク監視の観点から見ると、この外向きのリクエストは、Copilotが通常のWeb要約時に行う標準的なHTTPS取得と見分けがつきにくいものです。そのため、不審なプロセスや異常なポート、通常とは異なる通信先の特定に重点を置く従来型のセキュリティ対策では、この挙動を見抜きにくくなります。
セキュリティコンサルティングサービス
今回の重大な問題点は、不正なOAuthアクセスそのものではありません。被害者自身がすでにCopilotに連携アプリケーションへのアクセスを許可していたためです。むしろCoSnitchは、コネクタによるアクションが意図的なユーザーリクエストへの応答としてのみ行われるという前提そのものを覆してしまいました。
3つ目の要素は、Web要約機能を介した間接的なプロンプトインジェクションです。攻撃者は、一見無害に見えるWebページをホストし、HTMLコメントやメタデータ、視覚的に隠された要素の中に指示を埋め込むことができます。
被害者がそのページの要約をCopilotに依頼すると、Copilotはページ全体のコンテンツを取得し、目に見えるテキストと、攻撃者が仕込んだ非表示の指示の両方を処理してしまいます。Varonisによれば、これによりCopilotがユーザーの永続的な記憶に悪意ある指示を書き込んでしまう可能性があることが判明しました。
この「記憶汚染」は、長期的に見て重大なリスクをもたらします。注入された指示は、手動で削除されない限り、以降のセッションにわたって有効なまま残る可能性があるためです。汚染された記憶エントリは、Copilotの応答内容を書き換えたり、警告を抑制したり、要約内容を歪めたり、攻撃者が定めた条件に基づいて将来のアクションを引き起こしたりする恐れがあります。
従来型のエンドポイントマルウェアとは異なり、この永続化の仕組みはAIアシスタントのユーザーコンテキスト内に存在します。パスワードのリセットやセッションの無効化、デバイスの再登録を行っても、汚染された記憶レコードは除去されない可能性があります。
Varonisは、自社の発見プロセスを「メタハッキング」と表現しています。研究者らはCopilotに対し、なぜ自動実行が起こり得ないはずなのかを説明するよう促しました。
そして、Copilotが返した技術的な説明を手がかりに、攻撃対象領域を絞り込んでいきました。Varonisによれば、Copilotは自らの制限事項を説明する過程で、URLの挙動や過去の保護策に関する実装の詳細を開示してしまったといいます。
CoSnitchは、Varonisが今年報告したMicrosoft Copilotの脆弱性としては3件目で、RepromptおよびSearchLeakに続くものです。これら一連の発見は、AIプラットフォームが単一の対話型インターフェースの背後に、企業の貴重なデータへのアクセス権をいかに集約し得るかを浮き彫りにしています。
組織は、Microsoftのセキュリティ更新プログラムを適用するとともに、Copilotのコネクタ権限を見直し、不要なサードパーティ連携を制限し、AI関連の外向き通信を監視し、そして事前入力された指示付きでAIアシスタントを開くリンクのリスクについて従業員教育を行うべきです。
新たなフィッシングやマルウェアが自社に被害を及ぼす前に阻止しましょう。 世界15,000のSOCが活用するライブインテリジェンスを統合
翻訳元: https://gbhackers.com/critical-microsoft-copilot-cosnitch-flaw/
