Varonis trouve des échecs Copilot personnels qui permettent l'exécution par URL; patch CVE-2026-24301

Varonis Threat Labs a publié une recherche qui décrit trois échecs dans Microsoft Personal Copilot qui, selon l'entreprise, a permis un seul clic sur un lien spécialement manipulé pour exécuter une instruction dans la session authentifiée de l'utilisateur et, dans certains cas, extraire des données de services connectés sans une action visible supplémentaire de la part de l'intéressé. Microsoft a classé la vulnérabilité principale comme CVE-2026-24301 et a déployé des corrections le 18 août 2025; Varonis dit avoir signalé le problème en décembre 2025. Le produit concerné spécifié par les chercheurs est l'assistant consommateur copilot.microsoft.com, et Varonis n'attribue pas la même conduite à Microsoft 365 Copilot dans sa divulgation publique.

Fait confirmé: Microsoft a publié la correction et assigné CVE-2026-24301 (voir la rubrique de sécurité officielle de Microsoft pour plus de détails). Varonis prétend n'avoir trouvé aucune preuve d'exploitation active dans des environnements réels jusqu'à la date de son rapport. Il est également confirmé que les failles impliquent deux vecteurs: l'exécution automatique des invites par URL et les écritures persistantes dans la mémoire de l'assistant lorsque vous résumez les pages web manipulées.

En termes techniques, la route d'attaque que Varonis appelle collectivement "CoSnitch" profite d'un paramètre URL qui, lors de tests, a été révélé par l'assistant lui-même après avoir demandé à plusieurs reprises les conditions qui permettraient l'exécution d'une prompte sans intervention de l'utilisateur - une technique que les chercheurs appellent "meta-hacking" (demander des questions sur les règles pour que le modèle les révèle). Le flux décrit combine le paramètre q, qui préremplit la boîte d'entrée, avec un paramètre supplémentaire identifié comme autorun = 1; la présence simultanée des deux entraînerait l'exécution automatique de l'instruction fournie lors du chargement de la page dans la session authentifiée de l'utilisateur.

Résultat technique essentiel: lors de l'exécution automatique, l'instruction est exécutée avec les mêmes privilèges que s'il était écrit par l'utilisateur lui-même dans cette session. Varonis a montré qu'une instruction malveillante peut lire le contenu de services déjà autorisés par l'utilisateur (mail, calendrier, fichiers, historique de chat, et entrées enregistrées dans la mémoire de l'assistant) et, grâce à la capacité de Copilot à récupérer des URL, à emballer et transmettre ces données à un site contrôlé par l'attaquant. La technique n'accorde pas de nouvelles autorisations à l'attaquant ; elle utilise les autorisations déjà accordées par l'utilisateur au service connecté.

Dans les tests signalés, Varonis a obtenu des corps de messages, des problèmes et des métadonnées de destinataires de courrier et de courrier, des titres de calendrier, des participants et des emplacements, des noms et des métadonnées de fichiers sur Google Drive, des histoires de conversation complètes et des instructions enregistrées dans la mémoire de Copilot. Pour échapper aux règles d'inspection et de détection basées sur les modèles, l'entreprise souligne que l'expéditeur de données peut les encoder dans la base64 avant de les envoyer, ce qui rend les demandes d'exfiltration, au niveau du réseau, très similaires aux demandes légitimes que Copilot fait lors de la synthèse des pages Web.

Le deuxième vecteur décrit est indépendant : par le biais d'un site Web soigneusement construit qui est traité par la fonction « résumé » de Copilot, un attaquant peut insérer des instructions dans la mémoire persistante de l'assistant. Varonis déclare que ces entrées peuvent survivre aux changements de mot de passe, à l'annulation de session et à la reliure de périphérique, et qu'elles resteront actives dans les interactions ultérieures jusqu'à ce que l'utilisateur supprime manuellement l'entrée de la configuration de la mémoire. Les chercheurs soulignent que l'écriture de mémoire ne génère pas de processus, fichiers, connexions réseau ou entrées d'enregistrement qui sont faciles à détecter par les outils de sécurité traditionnels; le changement est observable dans l'interface mémoire du Copilot lui-même.

Ce qui est confirmé et ce qui n'est pas: est confirmé par Varonis que la combinaison de paramètres a permis l'exécution automatique dans leurs tests et que Microsoft a publié un patch. Il est confirmé que les données accessibles par Copilot sont limitées à ce que le compte utilisateur peut déjà voir (selon la documentation de connecteur Microsoft). Il est rapporté par Varonis qu'il n'y a aucune preuve d'utilisation malveillante dans le champ; ce point dépend de la télémétrie publique et ce que Microsoft / tiers ont détecté et communiqué. Il n'est pas publiquement confirmé si les corrections ont automatiquement supprimé les entrées malveillantes précédemment écrites dans les mémoires affectées avant le patch; Varonis n'a pas précisé ces informations.

Pour les utilisateurs et les administrateurs, les implications sont pratiques et claires: un lien valide peut être suffisant pour qu'un assistant autorisé puisse divulguer des données sensibles si la session de l'utilisateur est ouverte. Autrement dit, l'atténuation principale consiste non seulement à modifier les mots de passe (ce que Varonis dit n'élimine pas les mémoires persistantes) mais à revoir les permissions et le contenu stockés dans l'assistant, et à réduire l'exposition en premier lieu.

Recommandations spécifiques et applicables maintenant (vérifiées ou soutenues par Varonis et par des pratiques de sécurité normalisées) : déconnecter ou révoquer l'accès aux applications et services de Copilot qui ne sont pas strictement nécessaires ; examiner et supprimer les entrées dans la section mémoire de Copilot pour les consommateurs ; éviter d'ouvrir des liens inconnus pendant qu'une session de Copilot est active dans le navigateur ; utiliser des fenêtres de navigation privées ou isoler des sessions de Copilot lorsqu'il est nécessaire de visiter des liens non vérifiés ; et, pour les environnements d'entreprise, traiter Copilot comme un « initié privilégié » dans le processus de surveillance et de détection de telles anomalies. Varonis conseille explicitement d'examiner les services connectés et de déconnecter les services inutiles.

Pour les organisations utilisant Microsoft 365 Copilote de la réponse devrait inclure l'audit: Microsoft a documenté les contrôles et les dossiers pour la mémoire et les changements dans les environnements d'affaires (y compris la mémoireMise à jour des dossiers et des capacités de naufrage dans Defender et Sentinel selon la documentation publique), de sorte que les équipes de sécurité devraient consulter les journaux et alertes connexes pour détecter les écritures de mémoire inattendues; cependant, Varonis souligne que la recherche signalée correspond au produit de consommation et que les protections et télémétries diffèrent entre les produits.

Étapes opérationnelles et suivantes : il n'est pas publiquement clair si les entrées de mémoire malveillante créées avant le patch ont été automatiquement supprimées par la correction ou si elles nécessitent une intervention manuelle de l'utilisateur ou de l'administrateur. Il n'est pas non plus confirmé qu'il existe des variantes de ce vecteur qui affectent d'autres éditions de l'assistant en dehors du copilot.microsoft.comdomain. Les utilisateurs doivent assumer la possibilité de la persistance et agir en conséquence.

Liens à approfondir : la feuille de vulnérabilité du Guide Microsoft Updates (CVE-2026-24301) et le portail Copilot pour examiner les paramètres et la mémoire sont des points de départ utiles. Pour suivre les recherches et recommandations originales de Varonis, voir son canal technique (la firme a publié le rapport et les documents techniques sur la constatation).

Résumé final : La leçon pratique de CoSnitch est de réaffirmer un maximum de sécurité appliquée aux participants à l'IV - si l'assistant est authentifié et autorisé à accéder aux services, son interface web peut devenir une surface d'exfiltration si elle est combinée avec des URL manipulées. Appliquer des correctifs, réduire les autorisations, les mémoires de vérification et les liens de méfiance dans le contexte des séances authentifiées sont des mesures concrètes et urgentes pour atténuer les risques.