Microsoft Copilot avslöjade sin egen brist – en länk ledde till din inkorg

Forskare vid Varonis fick Microsofts AI-assistent Copilot att avslöja sin egen svaghet. De frågade upprepade gånger varför ett kommando inte kunde köras på egen hand. Copilot förklarade skälen bakom varje avslag. Mitt i avslaget nämnde den en odokumenterad parameter för adressfältet, tillsammans med de säkerhetsåtgärder som Microsoft hade infört kring den. Forskarna skapade adressen exakt enligt beskrivningen. Det fungerade.

Microsoft åtgärdade säkerhetsluckan den 18 augusti. Den spåras som CVE-2026-24301 och klassas som kritisk, med ett CVSS-betyg på 8,8 av 10. CVSS är branschens standardskala för hur allvarlig en säkerhetsbrist är. Den drabbade produkten var Copilot i sin konsumentversion, den app som Microsoft nyligen slagit samman med prenumerationsnivån.

Ett klick, och assistenten arbetade för främlingar

Attacken, som Varonis döpt till CoSnitch, krävde inget annat än en länk. Ett klick på den öppnade Copilot inuti offrets egen inloggade session. Den extra parametern i adressen gjorde att angriparens instruktion kördes omedelbart, utan någon uppmaning och utan att man behövde trycka på skicka-knappen. Copilot genomsökte sedan den anslutna inkorg, kalendern och molnlagringen, packade in det den hittade i en webbadress och hämtade det. För säkerhetsverktygen som övervakade nätverket såg det ut som en vanlig sida som Copilot hade ombetts att sammanfatta.

I forskarnas tester hämtades lösenord som någon helt enkelt hade skickat via e-post. Tillsammans med möten inklusive deltagare och platser, filnamn från molnlagringen och den tidigare chattloggen.

Varför ett nytt lösenord inte hjälpte

Det värsta ligger i långtidsminnet. Copilot kommer ihåg saker som sträcker sig bortom en enskild konversation. Be den att sammanfatta en webbsida med en bakåtspeglad fälla, så skrev den in de instruktioner som var dolda där i det minnet. För användaren såg svaret ut som en vanlig sammanfattning. Att en assistent kan matas med instruktioner på detta sätt är ingen ny upptäckt.

Uppgiften förblev sedan kvar. Ett nytt lösenord rensade inte bort den, inte heller att logga ut från alla sessioner, och att registrera om enheten gjorde ingen skillnad. Dessa tre steg är precis vad folk gör när de misstänker att någon har varit inloggad på deras konto.

Vad du kan kontrollera nu

Microsoft åtgärdade säkerhetsbristen på sina egna servrar, så ingen behöver installera någonting. Varonis fann inga tecken på att någon faktiskt utnyttjade attacken. Den rapporterades i december 2025 och åtgärden infördes åtta månader senare.

Om du ändå vill kolla: på copilot.microsoft.com leder kontoknappen i sidomenyn till det lagrade minnet. Varje post listas där, och du kan radera dem en efter en eller alla på en gång. Allt som inte hör hemma där brukar sticka ut vid en första genomläsning.

CoSnitch är den tredje Copilot-sårbarheten som Varonis har upptäckt i år. De andra två följde samma mönster: ett klick på en länk som såg ofarlig ut.