In questo articolo Indice dei contenuti 2 sezioni
Una vulnerabilità capace di trasformare Microsoft Copilot in complice involontario del proprio sabotaggio è stata individuata dai ricercatori della società di sicurezza Varonis, che sono riusciti a farsi raccontare dal chatbot stesso quali fossero i punti deboli del sistema. Nessuna scorciatoia tecnica particolarmente sofisticata, nessuna analisi del codice sorgente. Solo una lunga serie di domande, poste con pazienza, fino a ricomporre il quadro. Il problema, battezzato CoSnitch, è stato segnalato all’azienda e a quanto risulta è già stato risolto.
La dinamica ha qualcosa di paradossale. I modelli di intelligenza artificiale costruiti da realtà come OpenAI, Anthropic e Google vengono dotati di filtri pensati proprio per evitare risposte pericolose, dalla generazione di malware alle istruzioni per produrre sostanze stupefacenti. Sono barriere che, nella maggior parte dei casi, funzionano. Solo che funzionano sul contenuto della risposta, non sempre su ciò che il rifiuto lascia intuire.
Come i ricercatori hanno fatto parlare il chatbot
Il punto di partenza è stato diretto quanto prevedibile nell’esito: ai ricercatori serviva un exploit in grado di sottrarre dati degli utenti, e la richiesta è stata avanzata senza troppi giri di parole. Copilot ha detto no, come previsto. Però nel dire no ha spiegato qualcosa di troppo, lasciando emergere le condizioni in cui certe protezioni possono essere aggirate. Un dettaglio in particolare si è rivelato prezioso: per i prompt considerati più sensibili era prevista una forma di conferma o di interazione da parte dell’utente.
Da lì in avanti il metodo si è ripetuto in modo quasi meccanico. Domande su altri meccanismi di sicurezza che si appoggiavano allo stesso sistema di conferma, nuovi rifiuti, nuovi frammenti di informazione. Ogni porta chiusa in faccia conteneva l’indicazione di dove fosse la serratura. Mettendo insieme i pezzi raccolti conversazione dopo conversazione, il team di Varonis è arrivato a costruire un attacco funzionante, basato su un semplice collegamento.
Un link via email e la catena si completa
L’exploit finale ha una forma tutt’altro che esotica: un link inviato per posta elettronica che, una volta cliccato, avrebbe consentito di sottrarre informazioni sensibili. La parte interessante non è tanto il risultato quanto il percorso, perché l’intera catena di vulnerabilità nasce da informazioni ottenute interrogando il sistema sui propri limiti. Non è stato necessario alcun reverse engineering, non c’è stata alcuna analisi del funzionamento interno condotta dall’esterno. Il modello ha collaborato, a modo suo.
Questo è il nodo che rende il caso diverso da molti altri emersi negli ultimi tempi. Le protezioni degli assistenti basati su intelligenza artificiale sono progettate per bloccare output esplicitamente dannosi, ma il confine tra spiegare perché una richiesta viene respinta e descrivere come aggirare il blocco resta sottile. Un rifiuto motivato in modo troppo trasparente diventa, di fatto, una mappa. E chi sa leggere quella mappa non ha bisogno di forzare nulla.
La segnalazione a Microsoft è arrivata nel dicembre 2025. Da allora la falla risulta corretta e non emergono elementi che indichino un suo utilizzo in attacchi reali contro utenti o aziende. Resta il fatto che CoSnitch si aggiunge a una casistica in crescita, quella degli attacchi che non colpiscono il software ma la conversazione, sfruttando la tendenza dei modelli linguistici a essere collaborativi anche quando dovrebbero limitarsi a un secco diniego.
Il caso solleva una questione pratica per chiunque sviluppi assistenti conversazionali integrati nei flussi di lavoro aziendali, dove Microsoft Copilot ha ormai una presenza consistente tra documenti, posta elettronica e strumenti di produttività. Più l’assistente ha accesso a dati reali, più il costo di una falla del genere cresce. E le difese, in questi scenari, devono tenere conto non solo di cosa il modello risponde, ma anche di quanto lascia trapelare mentre rifiuta di rispondere.
