概要
Varonis Threat Labsは、Microsoft Copilot Personalに存在した深刻な脆弱性「CoSnitch」(CVE-2026-24301、深刻度Critical)を発見したと発表した。この脆弱性を悪用すると、攻撃者が用意した悪意あるリンクを被害者が1回クリックするだけで、GmailやGoogleドライブ、カレンダー、OneDriveなどCopilotに連携された外部サービスから、メール本文やパスワード、ファイル名、会話履歴といった機密情報を密かに窃取できてしまう。Microsoftは2025年12月の報告を受け、2026年8月18日にパッチを適用済みで、Varonisは実際の攻撃での悪用は確認されていないとしている。
攻撃の技術的な仕組み
CoSnitchは3つの脆弱性を組み合わせた攻撃チェーンで構成される。まず、CopilotのURLにドキュメント化されていないautorun=1というパラメータと既存のqパラメータを組み合わせることで、ユーザーの確認操作なしに攻撃者が仕込んだプロンプトをページ読み込み時に自動実行できる。次に、自動実行されたプロンプトはOAuthで連携済みのサービス(メール、カレンダー、ドライブなど)に対してユーザーの認証済みセッションのままアクセスし、取得した情報をBase64エンコードしてURLパラメータに埋め込む。最後に、Copilotに標準搭載されたURL取得機能を使ってそのURLを攻撃者のWebhookサーバーへ通常のトラフィックを装って送信させ、データを外部に持ち出す。さらに第3の経路として、Webページ内に隠された指示をCopilotが要約する際に読み込ませることで、被害者の永続的な記憶ストア(メモリ)に不正な指示を注入する手法も確認された。この注入された指示はパスワード変更やセッションの無効化を行っても消えずに残り続けるという。
発見の経緯
Varonisの研究者Lior Adar氏らは、この脆弱性を「メタハッキング」と呼ぶ手法で発見した。これはCopilot自身に対して「なぜこのプロンプトはユーザー操作なしに実行できないのか」といった質問を繰り返し投げかけ、AIモデルを直接攻撃するのではなく、対話を通じて内部の仕組みや制限事項を段階的に聞き出すというアプローチだ。研究者は「モデルを攻撃するのではなく、協力させるように仕向ける」と説明しており、Copilotが拒否のたびに返す技術的な理由付けの中から、防御の仕組みや未公開のパラメータautorun=1の存在が明らかになっていったという。
影響と対策
検証では、メールの送信者アドレスや本文全体、平文のパスワード、会議のタイトル・参加者・場所、Googleドライブのファイル名、チャット履歴や保存済みのユーザー指示など、幅広い機密情報へのアクセスが可能であることが実証された。VaronisはMicrosoftとの協力的な対応を評価する一方、企業に対してはCopilotの連携アプリ(コネクタ)設定を定期的に監査して不要な連携を最小化すること、Copilotへのアクセス権限を特権的なものとして扱うこと、リンク経由でAIアシスタントを起動させる仕組みのリスクを見直すこと、Copilotによる異常なデータアクセスパターンを検知できる監視体制を整えることを推奨している。プロンプトインジェクションを起点にAIエージェントの権限や記憶領域が乗っ取られるリスクは、AIアシスタントが業務システムに深く統合されるほど深刻化することを示す事例といえる。