Microsoft corrige CoSnitch, el fallo que exponía a Copilot

Investigadores de Varonis Threat Labs descubrieron un fallo crítico en Microsoft Copilot, la versión para consumidores del asistente de inteligencia artificial de Microsoft alojada en copilot.microsoft.com. Bautizado CoSnitch, permitía filtrar datos del usuario —contraseñas incluidas— en el momento en que la víctima hacía clic en un simple enlace, sin confirmación ni ninguna acción adicional. Varonis notificó el fallo a Microsoft en diciembre de 2025; un primer parche parcial llegó en febrero de 2026, y una corrección completa se desplegó el 18 de agosto de 2026. El fallo está catalogado como CVE-2026-24301, con una puntuación de gravedad CVSS de 8,8 sobre 10, considerada crítica.

La inyección de prompt (prompt injection) es una técnica en la que un atacante oculta instrucciones dentro de un contenido que procesa un modelo de lenguaje —aquí, un parámetro de URL o una página web— para que el modelo las ejecute en lugar de, o además de, las instrucciones previstas por el usuario legítimo. Dos variantes de este mecanismo están en el centro de CoSnitch.

Un asistente de IA interrogado sobre sus propios fallos

El hallazgo se debe a un método poco habitual. Los investigadores de Varonis querían construir un exploit capaz de exfiltrar datos sin que la víctima tuviera que hacer nada más que hacer clic en un enlace. Copilot se negaba sistemáticamente: sus barreras de seguridad exigen un gesto explícito del usuario, como pulsar una tecla, antes de ejecutar cualquier acción sensible. En lugar de recurrir a la ingeniería inversa clásica, los investigadores interrogaron al propio asistente sobre la naturaleza de esa protección —por qué era imposible la ejecución automática, qué estructuras de URL y enlaces profundos estaban implicados, qué ocurría cuando una página se cargaba con un texto ya presente en el campo de entrada. Cada negativa de Copilot revelaba un nuevo detalle técnico sobre su arquitectura interna, hasta que el asistente terminó divulgando un auténtico secreto industrial de Microsoft: un parámetro de URL no documentado capaz de eludir por completo el requisito de consentimiento.

Una cadena de ataque que se activaba con un solo clic

Ese parámetro era ?autorun=1. Combinado con el parámetro ?q=, ya conocido y utilizado para precargar el campo de conversación de Copilot desde un enlace, permitía disparar la ejecución del prompt inyectado en cuanto se cargaba la página, sin clic ni confirmación adicional. Un enlace construido con este patrón, enviado por correo electrónico, mensajería o escondido tras un código QR, era suficiente: en cuanto la víctima lo abría en un navegador donde ya había iniciado sesión en Copilot, el prompt se ejecutaba dentro de su sesión autenticada, con acceso a sus aplicaciones conectadas, su memoria y sus datos —incluso si la pestaña se cerraba inmediatamente después de cargarse.

• Un parámetro de URL oculto (?autorun=1) desencadenaba la ejecución automática de un prompt en cuanto se cargaba la página, sin validación del usuario.
• El prompt inyectado podía rastrear la bandeja de entrada y las aplicaciones conectadas —Gmail, Google Drive, OneDrive— para extraer datos sensibles, incluidas contraseñas enviadas por correo.
• La información robada se codificaba en base64 y se enviaba a un servidor controlado por el atacante, mediante la propia función de recuperación de URL integrada en Copilot.
• Una variante distinta envenenaba la memoria permanente del asistente a partir de una página web trampa: una vez resumida por Copilot, inyectaba instrucciones maliciosas que persistían incluso después de un cambio de contraseña, una revocación de sesión o un reenrolamiento completo del dispositivo.

El parche del 18 de agosto, en una serie de fallos de Copilot

Microsoft neutralizó primero el parámetro ?q= en febrero de 2026, impidiendo que inyectara texto directamente en el campo de conversación —obligando al usuario a hacer clic y escribir manualmente, a costa de algunas integraciones de navegadores de terceros que utilizaban ese parámetro tal como se diseñó originalmente. Un parche más completo llegó el 18 de agosto de 2026, unos ocho meses después del aviso inicial de Varonis. Según la firma de seguridad, no se registró ninguna explotación activa de CoSnitch antes de su corrección. Microsoft agradeció a los investigadores e indicó en un comunicado que sus clientes estaban protegidos sin necesidad de actuar, y que la empresa 'actualiza continuamente sus barreras de seguridad para reforzar sus protecciones frente a técnicas similares'. CoSnitch se suma a una serie de vulnerabilidades que han afectado a Copilot en los últimos meses: EchoLeak, en junio de 2025, ya había demostrado la posibilidad de un ataque 'zero-click' contra el asistente; Reprompt, en enero de 2026, explotaba un mecanismo comparable de parámetro convertido en prompt para exfiltrar el historial de conversaciones; SearchLeak, en junio de 2026, catalogada como CVE-2026-42824, había atacado la versión empresarial combinando inyección de parámetros y evasión de políticas de seguridad. Microsoft precisa que CoSnitch solo afecta a Copilot Personal, la versión para consumidores, y que Microsoft 365 Copilot, la versión empresarial, no se ve afectada —aunque Varonis advierte de que una cuenta personal vinculada a datos profesionales podría ampliar la exposición real.

Para las empresas de habla hispana que despliegan Copilot de forma interna, el episodio CoSnitch —aunque Microsoft lo limite oficialmente a la versión para consumidores— es un recordatorio concreto: un asistente de IA conectado al correo, a los archivos y a las herramientas internas hereda todos los privilegios de la cuenta a la que sirve, y un fallo en sus barreras de seguridad se convierte de inmediato en un fallo de acceso a los datos de la empresa. Los equipos de TI deben aplicar los parches de seguridad de los asistentes de IA con la misma disciplina que los de los sistemas operativos, limitar el número de aplicaciones y conectores concedidos a estos asistentes, y formar a los empleados para que desconfíen de los enlaces recibidos por correo o mensajería, incluidos los que parecen apuntar a una herramienta de Microsoft conocida. Que la memoria envenenada persistiera más allá de un cambio de contraseña recuerda también que un incidente con un asistente de IA no siempre se cierra con las medidas de remediación habituales.