微軟修補CoSnitch漏洞：Copilot親口洩露的安全缺陷

資安公司Varonis Threat Labs的研究人員在微軟Copilot（託管於copilot.microsoft.com的消費者版AI助理）中發現一項嚴重漏洞。這項漏洞被命名為CoSnitch，只要受害者點擊一個連結，無需任何確認或額外操作，包括密碼在內的使用者資料便會外洩。Varonis於2025年12月將此漏洞回報給微軟；2026年2月發布了部分緩解措施，完整修補程式則於2026年8月18日推出。此漏洞登記為CVE-2026-24301，CVSS嚴重程度評分為10分中的8.8分，被評為「重大」等級。

提示注入（prompt injection）是一種攻擊技巧：攻擊者將指令隱藏在語言模型所處理的內容中——此處為一個URL參數或一個網頁——使模型執行這些指令，取代或附加於合法使用者原本想要的指令之上。CoSnitch的核心，正是這項機制的兩種不同變體。

被追問自身漏洞的AI助理

這項發現源於一種不尋常的方法。Varonis的研究人員希望打造一個漏洞利用程式，讓受害者只需點擊一個連結就會遭到資料竊取。Copilot始終拒絕配合：其安全機制要求在執行任何敏感操作前，使用者必須做出明確動作，例如按下某個按鍵。研究人員沒有採用傳統的逆向工程，而是直接就這項保護機制的本質詢問Copilot本身——為何無法自動執行、牽涉哪些URL結構與深層連結、當頁面載入時輸入欄已預先填入文字會發生什麼事。Copilot每一次拒絕，都洩露了關於其內部架構的新技術細節，直到這個助理最終洩露出微軟真正的商業機密：一個未公開的URL參數，能夠徹底繞過使用者同意的要求。

一次點擊即可觸發的攻擊鏈

這個參數是「?autorun=1」。當它與先前已知、用於透過連結預先填入Copilot對話欄的參數「?q=」結合使用時，頁面一旦載入，便會觸發被注入提示詞的執行——無需點擊、無需按鍵、無需確認。依照這種模式打造的連結，只需透過電子郵件、聊天訊息傳送，或藏在QR code背後即可奏效：只要受害者在已登入Copilot的瀏覽器中開啟該連結，被注入的提示詞就會在其已驗證的工作階段中執行，取得對其已連結應用程式、記憶與資料的存取權——即使分頁在載入後立即關閉，攻擊仍不會中止。

• 一個隱藏的URL參數（?autorun=1）會在頁面載入的瞬間自動觸發提示詞執行，無需使用者確認。
• 被注入的提示詞可搜尋收件匣與已連結的應用程式——Gmail、Google Drive、OneDrive——藉此擷取敏感資料，包括透過電子郵件傳送的密碼。
• 竊得的資訊經base64編碼後，透過Copilot內建的URL擷取功能，傳送至攻擊者控制的伺服器。
• 另一種變體則透過精心設置的網頁，毒化助理的永久記憶：一旦Copilot對該網頁進行摘要，便會被注入惡意指令，這些指令即使在使用者變更密碼、撤銷工作階段，或對裝置完全重新註冊後，依然持續存在。

8月18日的修補程式，以及一連串Copilot漏洞

微軟先於2026年2月緩解了「?q=」參數的問題，阻止其直接將文字注入對話欄，此舉迫使使用者必須手動點擊並輸入——但也導致部分依賴該參數原始設計的第三方瀏覽器整合功能失效。約在Varonis首次通報八個月後，更全面的修補程式於2026年8月18日發布。據這家資安公司表示，在修補之前並未發現CoSnitch遭實際利用的案例。微軟向研究人員致謝，並在聲明中表示，客戶無需採取任何行動即已受到保護，並補充公司「持續更新安全護欄，以強化對類似技巧的防護」。CoSnitch是近幾個月來一連串影響Copilot的漏洞中最新的一例：2025年6月的EchoLeak，已證明針對這款助理發動「零點擊」攻擊的可能性；2026年1月的Reprompt，利用類似的「參數轉提示詞」機制竊取對話紀錄；2026年6月登記為CVE-2026-42824的SearchLeak，則結合參數注入與安全政策繞過，針對企業版發動攻擊。微軟表示，CoSnitch僅影響面向消費者的Copilot Personal，企業版的Microsoft 365 Copilot不受影響——但Varonis指出，與工作資料連結的個人帳戶，可能擴大實際的暴露範圍。

對於在內部部署Copilot的台灣企業而言，CoSnitch事件——即使微軟官方將其影響範圍限定於消費者版本——仍是一項具體的提醒：一個連結電子郵件、檔案與內部工具的AI助理，會繼承其所服務帳戶的全部權限，其安全護欄中的任何缺陷，都會立即轉化為企業資料存取權限上的缺陷。IT團隊應以對待作業系統更新同等的紀律，部署AI助理的安全修補程式，限制授予這些助理的應用程式與連接器數量，並提醒員工對透過電子郵件或聊天訊息收到的連結保持警覺，即使這些連結看似指向一個熟悉的微軟工具。遭毒化的記憶能在密碼變更後依然存續，這也提醒人們：涉及AI助理的資安事件，未必總能透過常規補救措施徹底了結。