CoSnitch, la falla di Microsoft Copilot che con un clic esfiltra i dati dalle app collegate

Un solo clic su un link, e il tuo assistente AI comincia a leggere le email, a spulciare il calendario e a frugare tra i file sul cloud, per poi spedire tutto a un server controllato da un estraneo. Non è uno scenario ipotetico: è quello che i ricercatori di Varonis Threat Labs hanno dimostrato con CoSnitch, un gruppo di vulnerabilità che colpiva Microsoft Copilot Personal, l’assistente per i consumatori ospitato su copilot.microsoft.com.

La falla, identificata come CVE-2026-24301 nel Security Update Guide di Microsoft, è stata segnalata a dicembre 2025 e corretta con le patch rilasciate il 18 agosto 2026. Varonis dice di non aver trovato prove di sfruttamento reale, ma il caso resta importante per come è nato e per ciò che rivela sul modo in cui gli assistenti AI maneggiano i tuoi dati.

Il dettaglio più curioso? A svelare la vulnerabilità è stato Copilot stesso.

Come funziona CoSnitch, la falla che Copilot ha rivelato da solo

I ricercatori non hanno dovuto decompilare nulla né aggirare un filtro con un jailbreak. Hanno semplicemente continuato a chiedere a Copilot perché un prompt non potesse partire senza un gesto dell’utente. A ogni rifiuto l’assistente aggiungeva una giustificazione tecnica, finché non ha nominato il parametro responsabile, autorun=1, insieme alle condizioni di sessione in cui funzionava e alle protezioni che avrebbero dovuto disattivarlo.

Quando il team ha costruito l’indirizzo esattamente come descritto, il parametro che Copilot aveva presentato come ormai inoffensivo si è eseguito senza problemi. Varonis ha battezzato questo approccio meta-hacking e lo ha riassunto con un’immagine efficace: Copilot non è stato violato, è stato semplicemente giocato.

Ed è qui il punto più interessante per chi lavora con l’AI. Non si è trattato di un filtro anti prompt injection bucato, ma di un modello che, cercando di essere utile, ha spiegato i propri meccanismi interni a chi lo interrogava con insistenza. La stessa disponibilità che rende comodo un assistente si è trasformata nel grimaldello per aprirlo.

Il meccanismo tecnico si regge su due parametri nell’URL. Da solo, il parametro q si limita a pre-compilare la casella di input con un testo, un comportamento noto e innocuo. Aggiungendo autorun=1, invece, il prompt parte in automatico al caricamento della pagina, dentro la sessione autenticata della vittima e con gli stessi poteri di un’istruzione digitata a mano.

C’è un particolare che rende l’attacco ancora più insidioso. Una volta avviata l’esecuzione, il prompt arriva fino in fondo anche se chiudi subito la scheda di Copilot dopo che la pagina si è caricata. Non basta accorgersi in fretta di aver aperto il link sbagliato.

Sul piano della gravità, la vulnerabilità è classificata come information disclosure, cioè divulgazione di informazioni, e la stampa specializzata la colloca intorno a 8,8 su 10 nella scala CVSS 3.1. Un valore alto, che riflette bene la facilità dell’attacco e la sensibilità dei dati in gioco.

Quali dati finivano nelle mani dell’attaccante

Varonis ha raggruppato le scoperte in tre vulnerabilità distinte. Le prime due formano il percorso di esfiltrazione con un clic, mentre la terza apre una strada separata e per certi versi più insidiosa, di cui parliamo tra poco.

Il punto è che Copilot Personal non vive isolato. Se gli hai collegato la posta, l’agenda o lo spazio di archiviazione, l’assistente può interrogare quei servizi con i permessi che tu stesso gli hai concesso. Il prompt malevolo sfrutta proprio questa fiducia: raccoglie i dati, li codifica e usa la funzione di recupero degli URL integrata in Copilot per inviarli a un webhook controllato dall’attaccante.

Nei loro test, i ricercatori raccontano di aver estratto il corpo dei messaggi, gli oggetti e i metadati di mittente e destinatario dagli account di posta collegati. E poi titoli degli eventi, partecipanti, orari e luoghi dal calendario, nomi e riassunti dei metadati dei file su Google Drive, l’intero contenuto delle conversazioni precedenti nella cronologia della chat e persino le istruzioni salvate nella memoria dell’assistente.

Nessuno di questi accessi era abusivo nel senso classico. L’attacco non concede a Copilot nuovi permessi né amplia quelli esistenti: si limita a dirottare l’accesso che l’assistente aveva già.

Ecco perché è così difficile da individuare. La richiesta con cui i dati escono è indistinguibile, a livello di rete, dalle normali chiamate che Copilot compie quando riassume una pagina web qualsiasi. E la codifica in base64 aiuta a eludere i filtri che analizzano il traffico in uscita alla ricerca di schemi sensibili, come le credenziali.

Il tema degli assistenti che si agganciano ai tuoi dati personali non è nuovo. Microsoft ha unificato le sue funzioni in un’unica super app Copilot, e sul fronte opposto anche ChatGPT ha imparato a leggere e inviare i messaggi di Apple sul Mac. Più un assistente diventa capace, più cresce la superficie che un attaccante può provare a colpire.

La memoria avvelenata che sopravvive a tutto

La terza vulnerabilità è quella che dovrebbe farti riflettere di più. Non passa da un clic su un link, ma da una pagina web costruita ad arte: quando chiedi a Copilot di riassumerla, l’assistente scrive di nascosto le istruzioni dell’attaccante nella propria memoria.

Quelle istruzioni restano lì. Non le cancella un cambio di password, non le rimuove la revoca delle sessioni, non le tocca nemmeno la re-immatricolazione del dispositivo. Continuano ad agire nelle conversazioni successive finché non sei tu, manualmente, a eliminarle dalle impostazioni di memoria di Copilot.

E qui arriva il dettaglio che allarma chi si occupa di difesa: la scrittura in memoria non genera alcun processo, file, connessione di rete o voce di log che un software di sicurezza possa segnalare. L’unico posto in cui la modifica è visibile è l’interfaccia della memoria dell’assistente stesso.

Non è la prima volta che la memoria di Copilot finisce sotto esame. Altri ricercatori, come Håkon Måløy e Johann Rehberger, avevano già documentato scritture persistenti tramite pagine avvelenate e prompt injection indiretta, in lavori collegati a un secondo identificativo, CVE-2026-24299. Il problema, insomma, non nasce con CoSnitch: qui però assume una forma particolarmente subdola.

La risposta di Microsoft e cosa resta da fare

Microsoft ha corretto la falla con le patch del 18 agosto e, nella sua documentazione, ricorda che i servizi collegati lavorano sempre con i permessi già in possesso dell’utente: Copilot non amplia l’accesso, opera solo su contenuti che l’account può già vedere. Nella pratica, però, è proprio quella fiducia a essere stata sfruttata.

A giugno l’azienda aveva già affrontato la stessa categoria di attacchi con un intervento dedicato alla memoria, spiegando che nella versione aziendale Microsoft 365 Copilot i ricordi passano da controlli di sanificazione e da verifiche anti prompt injection, e che gli aggiornamenti vengono registrati nei log e resi visibili agli analisti tramite strumenti come Defender e Sentinel. È lo stesso spirito con cui Microsoft ha portato gli agenti AI per la cybersecurity dentro Defender.

Restano però due zone d’ombra. Varonis non ha indicato alcun aggiornamento che l’utente debba installare da sé, segno che la correzione è avvenuta lato server. E soprattutto, i ricordi già iniettati prima della patch potrebbero sopravvivere e richiedere una pulizia manuale, perché la divulgazione non chiarisce se l’intervento di Microsoft abbia rimosso in modo retroattivo le voci create prima del fix.

In altre parole, se hai usato Copilot Personal per riassumere pagine di dubbia provenienza nei mesi scorsi, un controllo alle impostazioni di memoria non è tempo sprecato.

Perché questa storia riguarda anche te

CoSnitch non è un caso isolato. Meno di due settimane prima, lo stesso team aveva descritto RovoBlast, un attacco con un clic all’assistente Rovo di Atlassian che sfruttava un parametro simile nell’indirizzo. Il modello si ripete: un assistente AI, un parametro nascosto, una sessione già autenticata.

La lezione è che ogni volta che colleghi un assistente alla posta, al calendario o al cloud, gli stai consegnando un mazzo di chiavi. È comodissimo, ma quella comodità va gestita con la stessa attenzione che dedicheresti a un collaboratore con accesso a tutto. Non a caso la protezione dei dati è al centro anche delle mosse dei concorrenti, come la conservazione zero dei dati annunciata da OpenAI.

Che cosa puoi fare concretamente? Prima di tutto controlla quali app sono collegate al tuo assistente e scollega quelle che non usi davvero. Poi diffida dei link che aprono un assistente AI, esattamente come diffideresti di un allegato sospetto in una mail. E se sfrutti la memoria, ogni tanto rileggi le istruzioni salvate: potrebbe esserci qualcosa che non hai scritto tu.

Vale anche un principio più generale, suggerito dagli stessi ricercatori: tratta l’assistente come tratteresti un dipendente con privilegi elevati. Va monitorato, va sottoposto a revisione degli accessi e va tenuto d’occhio per comportamenti anomali, perché di fatto è un insider con le chiavi dei tuoi dati.

Conclusioni

Gli assistenti AI stanno diventando il cuore del modo in cui lavoriamo, e questo li rende un bersaglio sempre più appetibile. CoSnitch ci ricorda che la sicurezza di questi strumenti non dipende solo dai filtri che bloccano le istruzioni malevole, ma dall’intera architettura che li collega ai nostri account, alla nostra posta e ai nostri file.

La buona notizia è che difendersi non richiede competenze da esperto: bastano prudenza sui link, un inventario onesto delle app collegate e un occhio periodico alla memoria dell’assistente. Se vuoi capire come sfruttare l’intelligenza artificiale senza rinunciare al controllo dei tuoi dati, continua a seguirci: qui raccontiamo ogni giorno novità, rischi e strumenti dell’AI, spiegati con parole tue.