Výzkumníci přiměli Microsoft Copilot, aby jim postupně odhalil slabinu ve vlastním zabezpečení. Pomocí skrytého parametru pak dokázali spustit příkaz pouhým otevřením odkazu, získat data z připojených služeb a měnit trvalou paměť asistenta. Microsoft chybu opravil a tvrdí, že uživatelé nemusejí podnikat žádné další kroky.
Bezpečnostní tým Varonis Threat Labs objevil zranitelnost nazvanou CoSnitch. Microsoft o ní informoval v prosinci 2025. Výzkumníci přitom nemuseli složitě rozebírat kód ani analyzovat provoz aplikace. Na potřebné technické podrobnosti se jednoduše vyptali samotného Copilotu.
🦔Security researchers tricked Microsoft's Copilot into revealing how to hack itself. They asked why a certain attack wouldn't work, and Copilot handed them the exact details to make it work, including a hidden parameter Microsoft had disabled. They built a one-click attack that…
— Hedgie (@HedgieMarkets) August 18, 2026
Copilot postupně odkryl vlastní slabinu
Výzkumníci hledali způsob, jak spustit příkaz v Copilotu bez potvrzení uživatele. Asistent nejprve opakoval, že příkazy vyžadují jasný projev vůle, například stisknutí klávesy Enter. Tým proto změnil taktiku a začal se ptát, proč automatické spuštění není možné, jak fungují odkazy s předvyplněným zadáním a které bezpečnostní prvky takovému chování brání.
Každá odpověď přinesla další část skládačky. Copilot popsal strukturu odkazů, vyjmenoval omezené parametry a vysvětlil chování filtrů. Nakonec prozradil také dosud nezdokumentovaný parametr. Ten mohl za určitých podmínek spustit text vložený prostřednictvím parametru hned po načtení stránky.
„Na začátku Copilot stále odmítal, ale každé odmítnutí odhalilo technické podrobnosti o jeho vnitřní architektuře,“ uvedl seniorní výzkumník Varonis Lior Adar. Tým tento postup označil jako meta-hacking. Neútočil přímo na software, ale sociálně manipuloval uvažování modelu, dokud asistent sám nevysvětlil, kde leží mezery v ochraně.
Když výzkumníci oba parametry spojili, vznikl odkaz schopný automaticky předat Copilotu škodlivý příkaz. Oběti stačilo kliknout na odkaz doručený e-mailem, zprávou nebo QR kódem. Prohlížeč otevřel Copilot v aktivní přihlášené relaci a zadání se provedlo bez dalšího kliknutí i bez zřetelného upozornění.
Útok mohl zasáhnout e-maily i paměť
Copilot následně pracoval s oprávněními přihlášeného uživatele. Útočník ho mohl přimět k prohledání e-mailů, souborů, historie konverzací nebo dat v připojených aplikacích. Riziko se týkalo například Gmailu, Disku Google a Kalendáře Google. Výzkumníci ukázali také scénář, ve kterém asistent zjistil adresu odesílatele posledního e-mailu a odeslal ji na server ovládaný útočníkem.
Podobný příkaz mohl hledat zprávy obsahující hesla či jiné přihlašovací údaje nebo soubory s názvy souvisejícími s personalistikou a přístupovými údaji. Nalezené informace šlo připojit k externí internetové adrese, převést do formátu base64 a nechat Copilot tuto adresu otevřít. Podle Varonis mohl příkaz pokračovat i tehdy, když uživatel kartu krátce po načtení zavřel.
„Nejde o prolomení vnitřní paměti Copilotu. Copilot pouze dělá přesně to, k čemu vznikl: čte uživatelská data a drží je v kontextu,“ vysvětlil tým. Právě široký přístup k propojeným službám však z běžné funkce udělal prostředek pro krádež informací. Útočník nemusel prolomit účet ani obejít přihlašování. Využil oprávnění, která už asistent od uživatele měl.
Varonis předvedl také útok na trvalou paměť. Výzkumníci vložili skryté instrukce do metadat webové stránky. Když uživatel požádal Copilot o její shrnutí, asistent mohl tyto pokyny přijmout a uložit falešné informace mezi dlouhodobé preference. Takto pozměněná paměť mohla ovlivňovat další odpovědi, filtrovat informace, prosazovat vybraný výklad nebo spouštět předem určené akce.
Podvržené vzpomínky mohly přežít změnu hesla, zrušení relace i nové přihlášení zařízení. Uživatel by je odhalil pouze ruční kontrolou uložené paměti. Adar problém spojuje s tím, že jazykové modely nemají pevnou hranici mezi nezpracovanými daty a systémovými instrukcemi. Skrytý příkaz v e-mailu nebo dokumentu proto mohou vyhodnotit jako běžný požadavek.
