In questo articolo Indice dei contenuti 2 sezioni
Un parametro nascosto nell’indirizzo web ha trasformato Microsoft Copilot in una potenziale porta d’ingresso verso i dati collegati all’account, e la cosa curiosa è che a rivelarlo sia stato proprio l’assistente. La tecnica, battezzata CoSnitch dai ricercatori di Varonis Threat Labs, è stata resa pubblica ieri e catalogata con la sigla CVE-2026-24301. Microsoft ha rilasciato le correzioni nella stessa giornata.
Il dettaglio che rende la vicenda diversa dalle solite segnalazioni di sicurezza sta nel metodo. Nessuna analisi del codice, nessun reverse engineering. Solo una serie di domande poste con pazienza all’assistente, finché non ha spiegato come funzionano i parametri URL e quali condizioni servono per far partire un prompt in automatico. Varonis lo ha chiamato meta-hacking, e il nome rende bene l’idea.
Come si costruiva la catena d’attacco
Le prime risposte di Microsoft Copilot erano state negative. Non è possibile eseguire automaticamente un comando, in sostanza. Poi, insistendo, l’assistente ha tirato fuori un parametro non documentato: autorun=1. E non si è limitato a nominarlo, ha anche descritto come si comporta. I ricercatori hanno fatto la prova e hanno verificato che sì, quel parametro riusciva ad avviare un prompt già durante il caricamento della pagina.
L’altro pezzo del puzzle era il parametro q, quello che permette di infilare un’istruzione direttamente nell’indirizzo e caricarla nell’interfaccia. Preso da solo non faceva molti danni, perché serviva comunque una conferma manuale. Ma abbinato ad autorun=1 la faccenda cambiava: bastava che l’utente aprisse il collegamento con una sessione già attiva e il prompt veniva elaborato senza che nessuno avesse premuto nulla.
Qui arriva la parte scomoda. Il problema non era tanto il testo che Copilot avrebbe prodotto, quanto i permessi che l’assistente aveva già in tasca. Con un account collegato a servizi come Gmail, Google Drive o Calendar, un prompt malevolo poteva spingere Copilot a rovistare tra messaggi, file, appuntamenti e cronologia delle conversazioni. Tutto materiale a cui l’utente aveva regolare accesso.
Nessuna violazione dei sistemi OAuth, va detto. I servizi esterni ricevevano richieste da un’identità perfettamente autorizzata, quindi dal loro punto di vista non c’era niente di strano. Mancava però la parte più importante, cioè la scelta consapevole di chi sta davanti allo schermo. L’azione partiva da un’istruzione scritta nell’indirizzo, punto.
Dai dati letti ai dati portati fuori
Varonis ha spinto la dimostrazione un passo più in là. Copilot, infatti, è in grado di recuperare risorse da URL esterni, e i ricercatori hanno usato questa funzione per far uscire dal perimetro le informazioni raccolte, indirizzandole verso un endpoint controllato dall’attaccante attraverso una richiesta web generata dall’assistente stesso.
Dall’esterno la comunicazione poteva sembrare un normale recupero di contenuti. L’assistente finiva per fare da ponte tra i dati accessibili, la capacità di analizzarli e le richieste verso l’esterno. In alcuni casi l’elaborazione andava avanti anche dopo la chiusura della scheda, perché le operazioni successive venivano gestite lato server.
C’è poi il capitolo memory poisoning, forse il più fastidioso. Una pagina costruita ad arte poteva inserire istruzioni nella memoria di Copilot e condizionare le conversazioni successive. Secondo Varonis l’effetto poteva sopravvivere alla singola sessione e non veniva cancellato in automatico né cambiando la password né revocando l’autenticazione.
La ricerca riguarda soprattutto Copilot Personal e non va confusa con i problemi già raccontati in passato per Microsoft 365 Copilot Enterprise. Microsoft ha comunicato di avere applicato le correzioni il 18 agosto 2026, mentre Varonis dichiara di non avere trovato tracce di sfruttamento della tecnica in attacchi reali.
Il caso porta a galla un principio che vale per tutti gli assistenti basati sull’intelligenza artificiale. Parametri URL, email, documenti e pagine web vanno considerati input non affidabili, anche quando le istruzioni che contengono sembrano del tutto legittime. Filtrare qualche prompt sospetto non basta: le difese devono evitare che un contenuto esterno ottenga in automatico la stessa autorità di un comando dato dall’utente, e devono tenere sotto controllo anche le azioni successive sui servizi collegati.
