Microsoft dicht CoSnitch-lek dat Copilot verried

Onderzoekers van Varonis Threat Labs hebben een kritiek lek ontdekt in Microsoft Copilot, de consumentenversie van Microsofts AI-assistent op copilot.microsoft.com. Het lek, CoSnitch gedoopt, liet gebruikersgegevens — wachtwoorden incluis — weglekken zodra een slachtoffer op één enkele link klikte, zonder bevestiging of verdere actie. Varonis meldde het lek in december 2025 bij Microsoft; in februari 2026 volgde een gedeeltelijke patch, en op 18 augustus 2026 werd een volledige correctie uitgerold. Het lek staat geregistreerd als CVE-2026-24301, met een CVSS-ernstscore van 8,8 op 10, aangemerkt als kritiek.

Prompt injection is een techniek waarbij een aanvaller instructies verstopt in content die een taalmodel verwerkt — hier een URL-parameter of een webpagina — zodat het model die uitvoert in plaats van, of naast, de instructies die de rechtmatige gebruiker bedoelde. Twee varianten van dit mechanisme staan centraal bij CoSnitch.

Een AI-assistent ondervraagd over zijn eigen zwakke plekken

De ontdekking kwam voort uit een ongewone methode. De onderzoekers van Varonis wilden een exploit bouwen die gegevens kon buitmaken zonder dat het slachtoffer meer hoefde te doen dan op een link klikken. Copilot weigerde stelselmatig: de beveiligingen vereisen een expliciete handeling van de gebruiker, zoals een toetsaanslag, voordat een gevoelige actie wordt uitgevoerd. In plaats van klassieke reverse engineering ondervroegen de onderzoekers de assistent zelf over de aard van die bescherming — waarom automatische uitvoering onmogelijk was, welke URL-structuren en deeplinks daarbij een rol speelden, wat er gebeurde als een pagina laadde met tekst die al in het invoerveld stond. Elke weigering van Copilot onthulde een nieuw technisch detail over zijn interne architectuur, tot de assistent uiteindelijk een echt bedrijfsgeheim van Microsoft prijsgaf: een ongedocumenteerde URL-parameter die de toestemmingsvereiste volledig omzeilde.

Een aanvalsketen die met één klik werd geactiveerd

Die parameter was ?autorun=1. In combinatie met de al bekende parameter ?q=, die wordt gebruikt om het chatveld van Copilot vanuit een link vooraf in te vullen, activeerde die de uitvoering van de ingesloten prompt zodra de pagina laadde — zonder klik, zonder toetsaanslag, zonder bevestiging. Een link volgens dit patroon, verstuurd per e-mail, chatbericht of verstopt achter een QR-code, was voldoende: zodra het slachtoffer die opende in een browser waar hij al was ingelogd bij Copilot, werd de prompt uitgevoerd binnen zijn geauthenticeerde sessie, met toegang tot gekoppelde apps, geheugen en gegevens — zelfs als het tabblad meteen na het laden werd gesloten.

• Een verborgen URL-parameter (?autorun=1) activeerde automatisch een prompt zodra de pagina laadde, zonder bevestiging van de gebruiker.
• De ingesloten prompt kon de inbox en gekoppelde apps — Gmail, Google Drive, OneDrive — doorzoeken en gevoelige gegevens buitmaken, inclusief per e-mail verzonden wachtwoorden.
• De gestolen informatie werd base64-gecodeerd en verstuurd naar een server onder controle van de aanvaller, via Copilots eigen ingebouwde URL-ophaalfunctie.
• Een aparte variant vergiftigde het permanente geheugen van de assistent via een geprepareerde webpagina: zodra Copilot die samenvatte, injecteerde ze kwaadaardige instructies die zelfs een wachtwoordwijziging, een sessie-intrekking of een volledige heraanmelding van het apparaat overleefden.

De patch van 18 augustus, in een reeks Copilot-lekken

Microsoft neutraliseerde de parameter ?q= voor het eerst in februari 2026, door te verhinderen dat die tekst rechtstreeks in het chatveld injecteerde — gebruikers moesten voortaan handmatig klikken en typen, ten koste van enkele browserintegraties van derden die de parameter gebruikten zoals oorspronkelijk bedoeld. Een uitgebreidere patch volgde op 18 augustus 2026, ongeveer acht maanden na de eerste melding van Varonis. Volgens het beveiligingsbedrijf werd er vóór de correctie geen actieve uitbuiting van CoSnitch geregistreerd. Microsoft bedankte de onderzoekers en verklaarde dat klanten beschermd waren zonder zelf iets te hoeven doen, en voegde toe dat het bedrijf 'voortdurend zijn beveiligingen bijwerkt om de bescherming tegen vergelijkbare technieken te versterken'. CoSnitch voegt zich bij een reeks kwetsbaarheden die Copilot de afgelopen maanden troffen: EchoLeak toonde in juni 2025 al de mogelijkheid van een zero-click-aanval op de assistent; Reprompt maakte in januari 2026 gebruik van een vergelijkbaar mechanisme van parameter-tot-prompt om de gespreksgeschiedenis buit te maken; SearchLeak, in juni 2026 geregistreerd als CVE-2026-42824, richtte zich op de zakelijke versie door parameterinjectie te combineren met het omzeilen van beveiligingsbeleid. Microsoft stelt dat CoSnitch alleen Copilot Personal treft, de consumentenversie, en dat Microsoft 365 Copilot, de zakelijke versie, niet is getroffen — al waarschuwt Varonis dat een privéaccount die aan werkgegevens is gekoppeld, de werkelijke blootstelling zou kunnen vergroten.

Voor Nederlandse bedrijven die Copilot intern gebruiken, is het CoSnitch-incident — ook al beperkt Microsoft het officieel tot de consumentenversie — een concrete waarschuwing: een AI-assistent die is gekoppeld aan e-mail, bestanden en interne tools erft alle rechten van het account dat hij bedient, en een lek in zijn beveiligingen wordt daardoor meteen een lek in de toegang tot bedrijfsgegevens. IT-teams moeten beveiligingspatches voor AI-assistenten net zo systematisch toepassen als updates voor besturingssystemen, het aantal apps en connectoren dat aan deze assistenten wordt toegekend beperken, en medewerkers trainen om waakzaam te zijn bij links die via e-mail of chat binnenkomen, ook wanneer die naar een vertrouwde Microsoft-tool lijken te verwijzen. Dat het vergiftigde geheugen een wachtwoordwijziging overleefde, herinnert er bovendien aan dat een incident met een AI-assistent niet altijd is afgesloten met de gebruikelijke herstelmaatregelen.