Microsoft corrige CoSnitch, une faille qui piégeait Copilot

Des chercheurs de Varonis Threat Labs ont découvert une faille critique dans Microsoft Copilot, la version grand public de l'assistant IA de Microsoft hébergée sur copilot.microsoft.com. Baptisée CoSnitch, elle permettait de faire fuiter des données utilisateur — mots de passe compris — dès qu'une victime cliquait sur un simple lien, sans confirmation ni geste supplémentaire de sa part. Signalée à Microsoft en décembre 2025, la faille a d'abord reçu un correctif partiel en février 2026, avant qu'une correction complète ne soit déployée le 18 août 2026. Elle est référencée sous le numéro CVE-2026-24301, avec un score de gravité CVSS de 8,8 sur 10, jugé critique.

L'injection de prompt (prompt injection) désigne une technique consistant à faire exécuter à un modèle de langage des instructions cachées, glissées par un attaquant dans un contenu qu'il traite — ici un paramètre d'URL ou une page web — à la place, ou en plus, des instructions voulues par l'utilisateur légitime. C'est ce mécanisme, sous deux formes différentes, qui est au cœur de CoSnitch.

Un assistant IA interrogé sur ses propres failles

La découverte tient à une méthode inhabituelle. Les chercheurs de Varonis voulaient construire un exploit capable d'exfiltrer des données sans qu'un utilisateur n'ait rien d'autre à faire que cliquer sur un lien. Copilot refusait systématiquement : ses garde-fous imposent qu'une action sensible ne s'exécute qu'après un geste explicite de l'utilisateur, comme une validation au clavier. Plutôt que de recourir à la rétro-ingénierie classique, les chercheurs ont interrogé l'assistant lui-même sur la nature de cette protection — pourquoi l'exécution automatique était-elle impossible, quelles structures d'URL et quels liens profonds étaient en jeu, que se passait-il quand une page se chargeait avec un texte déjà présent dans le champ de saisie. Chaque refus de Copilot livrait un nouveau détail technique sur son architecture interne, jusqu'à ce que l'assistant finisse par divulguer un secret industriel de Microsoft : un paramètre d'URL non documenté, capable de contourner entièrement l'exigence de consentement.

Une chaîne d'attaque déclenchée en un clic

Ce paramètre s'écrivait ?autorun=1. Associé au paramètre ?q=, déjà connu et utilisé pour préremplir le champ de discussion de Copilot depuis un lien, il permettait de déclencher l'exécution du prompt injecté dès le chargement de la page, sans clic ni confirmation supplémentaire. Un lien construit sur ce modèle, envoyé par courriel, par messagerie ou dissimulé derrière un QR code, suffisait : dès que la victime l'ouvrait dans un navigateur où elle était déjà connectée à Copilot, le prompt s'exécutait dans sa session authentifiée, avec accès à ses applications connectées, à sa mémoire et à ses données — même si l'onglet était refermé aussitôt après l'ouverture.

• Un paramètre d'URL caché (?autorun=1) déclenchait l'exécution automatique d'un prompt dès le chargement de la page, sans validation de l'utilisateur.
• Le prompt injecté pouvait fouiller la boîte de réception et les applications connectées — Gmail, Google Drive, OneDrive — pour en extraire des données sensibles, y compris des mots de passe transmis par courriel.
• Les informations volées étaient encodées en base64 puis renvoyées à un serveur contrôlé par l'attaquant, via la fonction de récupération d'URL intégrée à Copilot.
• Une variante distincte empoisonnait la mémoire permanente de l'assistant à partir d'une page web piégée : une fois résumée par Copilot, elle injectait des instructions malveillantes qui persistaient même après un changement de mot de passe, une révocation de session ou un réenrôlement complet de l'appareil.

Le correctif du 18 août, dans une série de failles Copilot

Microsoft a d'abord neutralisé le paramètre ?q= en février 2026, en interdisant qu'il injecte directement du texte dans le champ de discussion — obligeant l'utilisateur à cliquer puis à saisir manuellement, au prix de certaines intégrations de navigateurs tierces qui utilisaient ce paramètre comme prévu à l'origine. Un correctif plus complet a suivi le 18 août 2026, soit environ huit mois après le signalement initial de Varonis. Selon la société de sécurité, aucune exploitation active de CoSnitch n'a été recensée avant sa correction. Microsoft a remercié les chercheurs et indiqué, dans une déclaration transmise à la presse, que ses clients étaient protégés sans action de leur part et que l'entreprise « met continuellement à jour ses garde-fous pour renforcer ses protections contre des techniques similaires ». CoSnitch s'inscrit dans une série de vulnérabilités touchant Copilot ces derniers mois : EchoLeak, en juin 2025, avait déjà démontré la possibilité d'une attaque « zero-click » sur l'assistant ; Reprompt, en janvier 2026, exploitait un mécanisme comparable de paramètre transformé en prompt pour exfiltrer l'historique de conversations ; SearchLeak, en juin 2026, référencée CVE-2026-42824, avait ciblé la version entreprise en combinant injection de paramètre et contournement de politique de sécurité. Microsoft précise que CoSnitch ne concerne que Copilot Personal, la version grand public, et que Microsoft 365 Copilot, la version entreprise, n'est pas affectée — Varonis note toutefois qu'un compte personnel relié à des données professionnelles pourrait élargir la surface d'exposition réelle.

Pour les entreprises françaises qui déploient Copilot en interne, l'épisode CoSnitch — même limité officiellement à la version grand public — est un rappel concret : un assistant IA connecté à la messagerie, aux fichiers et aux outils internes hérite de tous les privilèges du compte qu'il sert, et une faille dans ses garde-fous devient immédiatement une faille dans l'accès aux données de l'entreprise. Les équipes IT doivent s'assurer que les correctifs de sécurité des assistants IA sont appliqués aussi systématiquement que ceux des systèmes d'exploitation, limiter le nombre d'applications et de connecteurs accordés à ces assistants, et sensibiliser les collaborateurs à la prudence face aux liens reçus par courriel ou messagerie, y compris ceux qui semblent pointer vers un outil Microsoft familier. La persistance de la mémoire empoisonnée au-delà d'un changement de mot de passe rappelle aussi qu'un incident impliquant un assistant IA ne se referme pas toujours avec les mesures de remédiation habituelles.