Microsoft Copilot Personalに存在する重大な脆弱性(CVE-2026-24301、通称「CoSnitch」)により、攻撃者が悪意あるリンクを被害者にクリックさせるだけで、連携されたアカウントから機密情報を密かに盗み出せる可能性があることが分かりました。
Microsoftは、Varonis Threat Labsによる責任ある開示を受けて、2026年8月18日にこの脆弱性を修正しました。
発見者のLior Adar氏によれば、修正前にCoSnitchが実際に悪用された証拠は確認されていないとのことです。しかし、この攻撃チェーンは、AIアシスタントがメール、クラウドストレージ、カレンダーなど、サードパーティサービスへ広範なアクセス権を持つことによって生じるデータ漏洩リスクを浮き彫りにしています。
CoSnitchは、3つの独立した脆弱性を組み合わせることで、攻撃者が制御するプロンプトの実行、連携アカウントへのアクセス、そして意味のあるユーザー操作を伴わないデータの窃取を可能にするものでした。
1つ目の問題は、Copilotの標準的なクエリパラメータである?q=と併用される、文書化されていないURLパラメータに関するものです。攻撃者はこれを悪用し、被害者のブラウザがCopilotのページを読み込んだ瞬間に自動的にプロンプトが実行されるようなリンクを作成できました。
被害者はプロンプトを入力したり、操作を承認したりする必要はなく、悪意あるURLを開く以外の操作は一切不要でした。
このプロンプトが発動すると、Gmail、Google Drive、Google Calendarなど、連携アプリケーション経由で取得可能なデータをCopilotに照会させる指示が実行される恐れがありました。さらに、Copilotに組み込まれたURL取得機能を悪用し、取得した情報を攻撃者が管理するサーバーへ送信することも可能でした。
このデータ窃取の手法は、アシスタントの通常動作に紛れ込むよう巧妙に設計されていました。盗まれたデータはBase64エンコードされたうえで、Copilotの通常のブラウジング動作と見分けがつきにくい形の外向きWebリクエストとして送信される仕組みだったのです。
このため、従来型のセキュリティ監視ツールでは、この不正な通信を正規のAIアシスタントによる通信と区別することが困難でした。3つ目の脆弱性により、被害は一度限りのデータ窃取にとどまらない規模にまで拡大する可能性がありました。
攻撃者は、Copilotが要約した際に隠された指示がアシスタントの永続的なメモリに注入されるよう、悪意あるWebページを細工することができました。
こうして汚染されたメモリは、パスワードのリセット、セッションの無効化、デバイスの再登録を行っても残存する恐れがありました。その結果、従来のインシデント対応措置では攻撃者による指示を除去できない可能性があります。
組織は、復旧対応の一環として、Copilotに保存されたメモリやパーソナライズデータを点検・消去する必要があるでしょう。
今回の脆弱性は、Varonisが今年報告した3件目のCopilotに関する問題です。同じ質問を繰り返すことでCopilotの安全対策を回避できたとされる「Reprompt」、そしてMicrosoft 365 Copilot Enterpriseを潜在的な秘密裏のデータ持ち出しチャネルに変え得るとされた「SearchLeak」に続くものです。
これらの問題にはいずれも、一見何の変哲もないリンクが、ユーザーにほとんど、あるいは全く気付かれることなく重大なセキュリティ侵害の連鎖を引き起こしかねないという、共通の懸念すべきパターンが見られます。
Varonisによれば、同社が「メタハッキング」と呼ぶ手法によってCoSnitchを発見したとのことです。研究者たちはコードのリバースエンジニアリングのみに頼るのではなく、なぜ自動プロンプト実行が「不可能」とされているのかについて、Copilotに繰り返し質問を重ねました。
アシスタントの拒否回答を再度フォローアップの質問として投げかけることで、研究者たちはCopilotの挙動やアーキテクチャに関する説明を引き出すことに成功しました。これらの回答が最終的に、攻撃チェーンで悪用された文書化されていないパラメータの発見につながったのです。
Varonisは2025年12月にCoSnitchをMicrosoftへ報告しました。今回の発見は、AIシステムが有害な指示そのものを直接提供することを拒否した場合でも、その推論に基づく説明を通じて意図せず実装の詳細を明かしてしまう可能性があることを示しています。
セキュリティチームは、Copilotに連携されているすべてのサードパーティアプリケーションを見直し、不要な連携を解除すべきです。Copilotは特権を持つIDとして扱い、従業員やサービスアカウント、自動化プラットフォームと同等のアクセスガバナンスを適用する必要があります。
また組織は、自社の監視体制がAIアシスタント経由で発生するメール、ファイル、カレンダー、コラボレーションデータへの異常なアクセスを検知できるかどうかについても、検証しておく必要があります。
Copilotのようなアシスタントが企業のワークフローに組み込まれるにつれ、その信頼された活動が、データ窃取を隠蔽しようとする攻撃者にとって格好の経路となりかねません。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/cosnitch-microsoft-copilot-flaw/
