Microsoft corrige CoSnitch, falha que expunha o Copilot

Pesquisadores da Varonis Threat Labs descobriram uma falha crítica no Microsoft Copilot, a versão para consumidores do assistente de inteligência artificial da Microsoft hospedada em copilot.microsoft.com. Batizada de CoSnitch, ela permitia vazar dados do usuário — senhas incluídas — no momento em que a vítima clicava em um simples link, sem confirmação nem qualquer ação adicional. A Varonis notificou a Microsoft em dezembro de 2025; uma correção parcial veio em fevereiro de 2026, e uma correção completa foi lançada em 18 de agosto de 2026. A falha está catalogada como CVE-2026-24301, com pontuação de gravidade CVSS de 8,8 em 10, considerada crítica.

Injeção de prompt (prompt injection) é uma técnica em que um atacante esconde instruções dentro de um conteúdo processado por um modelo de linguagem — aqui, um parâmetro de URL ou uma página web — para que o modelo as execute no lugar das instruções pretendidas pelo usuário legítimo, ou além delas. Duas variantes desse mecanismo estão no centro do CoSnitch.

Um assistente de IA interrogado sobre suas próprias falhas

A descoberta partiu de um método incomum. Os pesquisadores da Varonis queriam construir um exploit capaz de exfiltrar dados sem que a vítima precisasse fazer mais nada além de clicar em um link. O Copilot recusava sistematicamente: suas proteções exigem um gesto explícito do usuário, como pressionar uma tecla, antes de executar qualquer ação sensível. Em vez de recorrer à engenharia reversa clássica, os pesquisadores interrogaram o próprio assistente sobre a natureza dessa proteção — por que a execução automática era impossível, quais estruturas de URL e links profundos estavam envolvidos, o que acontecia quando uma página carregava com um texto já presente no campo de entrada. Cada recusa do Copilot revelava um novo detalhe técnico sobre sua arquitetura interna, até que o assistente acabou divulgando um verdadeiro segredo industrial da Microsoft: um parâmetro de URL não documentado, capaz de contornar totalmente a exigência de consentimento.

Uma cadeia de ataque disparada por um único clique

Esse parâmetro era ?autorun=1. Combinado ao parâmetro ?q=, já conhecido e usado para pré-preencher o campo de conversa do Copilot a partir de um link, ele permitia disparar a execução do prompt injetado assim que a página carregava, sem clique nem confirmação adicional. Um link construído nesse padrão, enviado por e-mail, mensagem ou escondido atrás de um QR code, já bastava: assim que a vítima o abria em um navegador onde já estava conectada ao Copilot, o prompt era executado dentro de sua sessão autenticada, com acesso a seus aplicativos conectados, à sua memória e a seus dados — mesmo que a aba fosse fechada logo após o carregamento.

• Um parâmetro de URL oculto (?autorun=1) disparava a execução automática de um prompt assim que a página carregava, sem validação do usuário.
• O prompt injetado podia vasculhar a caixa de entrada e os aplicativos conectados — Gmail, Google Drive, OneDrive — para extrair dados sensíveis, incluindo senhas enviadas por e-mail.
• As informações roubadas eram codificadas em base64 e enviadas a um servidor controlado pelo atacante, por meio da própria função de busca de URL integrada ao Copilot.
• Uma variante distinta envenenava a memória permanente do assistente a partir de uma página web armadilhada: depois de resumida pelo Copilot, ela injetava instruções maliciosas que persistiam mesmo após uma troca de senha, uma revogação de sessão ou um reenrolamento completo do dispositivo.

A correção de 18 de agosto, em uma série de falhas do Copilot

A Microsoft primeiro neutralizou o parâmetro ?q= em fevereiro de 2026, impedindo que ele injetasse texto diretamente no campo de conversa — obrigando o usuário a clicar e digitar manualmente, à custa de algumas integrações de navegadores de terceiros que usavam esse parâmetro como originalmente previsto. Uma correção mais completa veio em 18 de agosto de 2026, cerca de oito meses após o alerta inicial da Varonis. Segundo a empresa de segurança, nenhuma exploração ativa do CoSnitch foi registrada antes da correção. A Microsoft agradeceu aos pesquisadores e afirmou, em comunicado, que seus clientes estavam protegidos sem necessidade de qualquer ação, acrescentando que a empresa 'atualiza continuamente suas proteções para reforçar as defesas contra técnicas semelhantes'. O CoSnitch se soma a uma série de vulnerabilidades que atingiram o Copilot nos últimos meses: o EchoLeak, em junho de 2025, já havia demonstrado a possibilidade de um ataque 'zero-click' contra o assistente; o Reprompt, em janeiro de 2026, explorava um mecanismo comparável de parâmetro transformado em prompt para exfiltrar o histórico de conversas; o SearchLeak, em junho de 2026, catalogado como CVE-2026-42824, havia atingido a versão empresarial combinando injeção de parâmetro e contorno de política de segurança. A Microsoft afirma que o CoSnitch afeta apenas o Copilot Personal, a versão para consumidores, e que o Microsoft 365 Copilot, a versão empresarial, não é afetado — embora a Varonis observe que uma conta pessoal vinculada a dados profissionais poderia ampliar a exposição real.

Para empresas brasileiras que usam o Copilot internamente, o episódio CoSnitch — mesmo limitado oficialmente à versão para consumidores — é um lembrete concreto: um assistente de IA conectado a e-mail, arquivos e ferramentas internas herda todos os privilégios da conta que atende, e uma falha em suas proteções vira, imediatamente, uma falha no acesso aos dados da empresa. As equipes de TI devem aplicar as correções de segurança dos assistentes de IA com a mesma disciplina usada em sistemas operacionais, limitar o número de aplicativos e conectores concedidos a esses assistentes, e orientar os funcionários a desconfiar de links recebidos por e-mail ou mensagem, mesmo os que parecem apontar para uma ferramenta conhecida da Microsoft. O fato de a memória envenenada persistir além de uma troca de senha também é um lembrete de que um incidente envolvendo um assistente de IA nem sempre se encerra com as medidas de remediação habituais.