Microsoft corrige a CoSnitch, a falha que expunha o Copilot

Investigadores da Varonis Threat Labs descobriram uma falha crítica no Microsoft Copilot, a versão para consumidores do assistente de inteligência artificial da Microsoft alojada em copilot.microsoft.com. Baptizada CoSnitch, permitia fugas de dados do utilizador — palavras-passe incluídas — no momento em que a vítima clicava num simples link, sem confirmação nem qualquer ação adicional. A Varonis reportou a falha à Microsoft em dezembro de 2025; uma correção parcial surgiu em fevereiro de 2026, e uma correção completa foi lançada a 18 de agosto de 2026. A falha está catalogada como CVE-2026-24301, com uma pontuação de gravidade CVSS de 8,8 em 10, considerada crítica.

A injeção de prompt (prompt injection) é uma técnica em que um atacante esconde instruções dentro de um conteúdo processado por um modelo de linguagem — aqui, um parâmetro de URL ou uma página web — para que o modelo as execute em vez das instruções pretendidas pelo utilizador legítimo, ou para além delas. Duas variantes deste mecanismo estão no centro da CoSnitch.

Um assistente de IA interrogado sobre as suas próprias falhas

A descoberta resultou de um método pouco habitual. Os investigadores da Varonis queriam construir um exploit capaz de exfiltrar dados sem que a vítima tivesse de fazer mais nada além de clicar num link. O Copilot recusava sistematicamente: as suas proteções exigem um gesto explícito do utilizador, como premir uma tecla, antes de qualquer ação sensível ser executada. Em vez de recorrer à engenharia inversa clássica, os investigadores interrogaram o próprio assistente sobre a natureza dessa proteção — porque é que a execução automática era impossível, que estruturas de URL e links profundos estavam envolvidos, o que acontecia quando uma página carregava com um texto já presente no campo de introdução. Cada recusa do Copilot revelava um novo detalhe técnico sobre a sua arquitetura interna, até que o assistente acabou por divulgar um verdadeiro segredo industrial da Microsoft: um parâmetro de URL não documentado, capaz de contornar por completo a exigência de consentimento.

Uma cadeia de ataque desencadeada por um único clique

Esse parâmetro era ?autorun=1. Combinado com o parâmetro ?q=, já conhecido e utilizado para pré-preencher o campo de conversa do Copilot a partir de um link, permitia disparar a execução do prompt injetado assim que a página carregava, sem clique nem confirmação adicional. Um link construído segundo este padrão, enviado por email, mensagem ou escondido atrás de um código QR, já era suficiente: assim que a vítima o abria num navegador onde já tinha sessão iniciada no Copilot, o prompt executava-se dentro da sua sessão autenticada, com acesso às suas aplicações ligadas, à sua memória e aos seus dados — mesmo que o separador fosse fechado imediatamente após o carregamento.

• Um parâmetro de URL oculto (?autorun=1) desencadeava a execução automática de um prompt assim que a página carregava, sem validação do utilizador.
• O prompt injetado podia vasculhar a caixa de entrada e as aplicações ligadas — Gmail, Google Drive, OneDrive — para extrair dados sensíveis, incluindo palavras-passe enviadas por email.
• A informação roubada era codificada em base64 e enviada para um servidor controlado pelo atacante, através da própria função de obtenção de URL integrada no Copilot.
• Uma variante distinta envenenava a memória permanente do assistente a partir de uma página web armadilhada: depois de resumida pelo Copilot, injetava instruções maliciosas que persistiam mesmo após uma alteração de palavra-passe, uma revogação de sessão ou um novo registo completo do dispositivo.

A correção de 18 de agosto, numa série de falhas do Copilot

A Microsoft neutralizou primeiro o parâmetro ?q= em fevereiro de 2026, impedindo que injetasse texto diretamente no campo de conversa — obrigando o utilizador a clicar e a escrever manualmente, à custa de algumas integrações de navegadores de terceiros que utilizavam esse parâmetro tal como originalmente previsto. Uma correção mais completa surgiu a 18 de agosto de 2026, cerca de oito meses depois do alerta inicial da Varonis. Segundo a empresa de segurança, não foi registada qualquer exploração ativa da CoSnitch antes da correção. A Microsoft agradeceu aos investigadores e afirmou, em comunicado, que os seus clientes estavam protegidos sem necessidade de qualquer ação, acrescentando que a empresa 'atualiza continuamente as suas proteções para reforçar as defesas contra técnicas semelhantes'. A CoSnitch junta-se a uma série de vulnerabilidades que afetaram o Copilot nos últimos meses: a EchoLeak, em junho de 2025, já tinha demonstrado a possibilidade de um ataque 'zero-click' contra o assistente; a Reprompt, em janeiro de 2026, explorava um mecanismo comparável de parâmetro transformado em prompt para exfiltrar o histórico de conversas; a SearchLeak, em junho de 2026, catalogada como CVE-2026-42824, tinha visado a versão empresarial combinando injeção de parâmetro e contorno de política de segurança. A Microsoft precisa que a CoSnitch afeta apenas o Copilot Personal, a versão para consumidores, e que o Microsoft 365 Copilot, a versão empresarial, não é afetado — ainda que a Varonis alerte que uma conta pessoal ligada a dados profissionais possa ampliar a exposição real.

Para as empresas portuguesas que utilizam o Copilot internamente, o episódio CoSnitch — mesmo limitado oficialmente à versão para consumidores — é um alerta concreto: um assistente de IA ligado ao correio eletrónico, aos ficheiros e às ferramentas internas herda todos os privilégios da conta que serve, e uma falha nas suas proteções torna-se, de imediato, uma falha no acesso aos dados da empresa. As equipas de TI devem aplicar as correções de segurança dos assistentes de IA com a mesma disciplina que aplicam aos sistemas operativos, limitar o número de aplicações e conectores concedidos a estes assistentes, e sensibilizar os colaboradores para a desconfiança perante links recebidos por email ou mensagem, incluindo os que parecem apontar para uma ferramenta Microsoft familiar. O facto de a memória envenenada persistir para além de uma alteração de palavra-passe é também um lembrete de que um incidente com um assistente de IA nem sempre se resolve com as medidas de remediação habituais.