2026-10-19 18:06:00 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

微软 Copilot Personal 存在多个漏洞，一次点击即可提取联网app数据

Swati Khandelwal
Swati Khandelwal

代码卫士

2026年8月19日 15:42
北京

在小说阅读器读本章

去阅读

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Varonis威胁实验室披露了Microsoft Copilot Personal中的三个漏洞，可导致在受害者单击一个精心构造的链接后，静默地从联网应用及受害者Copilot会话可访问的其它信息中提取数据。研究人员将这些漏洞统称为CoSnitch，其部分成因在于助手本身在测试期间暴露了一个未记录的URL参数。该实验室在2025年12月向微软报送该漏洞，后者于2026年8月18日修复，并获得编号CVE-2026-24301。

CoSnitch研究针对的是托管于copilot.microsoft.com的消费级助手Copilot Personal，并未表明相同行为会影响Microsoft 365 Copilot。

研究人员称，未发现CoSnitch在野外被利用的证据。他们通过反复询问Copilot，为何无法在无需用户交互的情况下执行某个提示词，从而获得了该参数——这种方法被该公司称为“元黑客攻击”。每次拒绝都附有技术理由，最终助手提到了一个参数“autorun=1”，以及该参数生效所需的会话条件和本应禁用该功能的保护机制。当研究人员按照描述精确构造URL后，Copilot曾声称不再起作用的参数却执行了。研究人员在报告中表示，Copilot“没有被攻破，而是被诱导了”。

该攻击URL将autorun=1与现有的q参数组合使用。在CoSnitch报告中，Varonis指出，仅使用q参数只会预填充输入框，必须同时存在两个参数，提示词才能在无用户手势的情况下触发。

该实验室在之前的Reprompt研究中，同样将q用作单次点击攻击中进入提示词的入口参数。研究人员表示，一旦CoSnitch执行开始，即使受害者在页面加载后立即关闭Copilot标签页，提示词仍会运行至完成。Varonis将这些发现归为三个漏洞。前两个构成单次点击数据外泄路径，而第三个是通过网页摘要触发的独立内存投毒路径：

自动提示词执行。两个参数组合使用，会导致攻击者提供的提示词在页面加载时于受害者已认证的会话中运行，能力与用户自行输入的指令相同。
通过已连接服务外泄数据。注入的提示词可以查询用户已授权的服务，对检索到的数据进行编码，并利用Copilot内置的URL获取功能，将数据发送至攻击者控制的webhook。该技术不会为Copilot授予新的提供方权限，也不会扩大用户的现有访问权限。
来自被摘要页面的持久内存写入。在另一路径中，一个经构造的网页在被Copilot摘要时，可导致助手将攻击者指令写入用户的记忆存储中，这些指令可影响后续会话。

在测试中，研究人员表示Copilot返回了已连接邮件账户的消息正文、主题行以及发件人和收件人元数据；日历标题、参与者、时间和地点；来自Google Drive的文件名和元数据摘要；来自聊天记录的完整先前对话内容；以及存储在记忆存储中的已保存指令和用户自定义规则。

微软在连接器文档中说明，用户必须先授权服务，Copilot才能访问这些服务，且已连接服务使用用户的现有权限处理请求。微软表示，Copilot不会扩大该访问权限，仅能处理账户已有权限查看的内容。

研究人员表示，在网络层面，该数据外泄请求与Copilot在摘要普通网页时执行的获取操作无法区分，而且base64编码有助于规避对出站请求中敏感模式（如凭证）的扫描过滤。在独立的内存路径方面，注入的指令在密码更改、会话撤销和设备重新注册后仍然存在，并在后续对话中保持活跃，直到用户从Copilot的记忆设置中将其删除。

研究人员还表示，该内存写入不会产生安全工具能够标记的进程、文件、网络连接或日志条目，该变更仅在Copilot的记忆界面中可见。

通过网页摘要路径进行内存写入并非首次向微软报告Copilot内存问题。研究人员Håkon Måløy曾记录了一个攻击者控制的页面，当受害者使用微软365 Copilot摘要流程时，该页面会持久化一个非预期的记忆，该研究于2026年6月22日在90天协调期后发布，并记录微软方面的状态为“全球范围已缓解”。Johann Rehberger分别报告了通过Microsoft 365 Copilot中的间接提示词注入进行的内存写入和删除，以及与CVE-2026-24299相关的研究中消费级助手的内存修改。

微软在6月22日的一篇安全博客文章中阐述了其针对同类攻击的立场，该文章致谢了来自Rehberger、Måløy和Gal Zror的MSRC案例。该公司表示，针对微软365而非消费级产品，记忆在写入时经过清理和提示词注入检查，M365 Copilot设计为对每次显式内存写入执行任务遵循性检查，并且内存更新会记录到组织审计日志中，并通过Defender高级搜寻和Sentinel中的MemoryUpdated字段向分析师呈现。

Varonis公司建议审查已连接到Copilot的应用，并断开非活跃使用的应用；将助手视为特权内部人员进行访问审查和异常检测；并对打开AI助手的链接保持谨慎。该公司未指明用户需要安装的客户端更新。Varonis表示，注入的记忆在被明确删除之前仍然存在；其披露中未说明Microsoft的修复措施是否会追溯移除修复前已创建的记忆条目。

该披露距离Varonis 公司同一团队详细披露RovoBlast（针对Atlassian的Rovo助手的单次点击攻击，该攻击滥用rovoChatPrompt URL参数，向已登录用户的会话中植入攻击者控制的指令）不足两周。Varonis表示，Atlassian在公开披露前已修复该问题。

代码卫士试用地址：https://sast.qianxin.com/

开源卫士试用地址：https://oss.qianxin.com/

Microsoft 365 Copilot 多个严重漏洞可导致敏感信息暴露

GitHub Copilot 严重漏洞可导致私有仓库源代码被盗

Microsoft 365 Copilot 中存在零点击AI数据泄露漏洞

微软扩展Copilot AI漏洞奖励计划范围，提高赏金

原文链接

https://thehackernews.com/2026/08/critical-gitlab-graphql-flaw-could-let.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。