Copilotに情報窃取の脆弱性「CoSnitch」発見、MS修正

セキュリティ研究機関のVaronis Threat Labs（米データセキュリティ企業Varonisの脅威調査部門）は、Microsoft Copilot Personalにおいて細工されたURLを1回クリックさせるだけで機密情報の窃取やメモリ改ざんを可能にする脆弱性チェーン「CoSnitch（CVE-2026-24301（Microsoft Copilotにおけるプロンプト自動実行および情報漏洩の共通脆弱性識別子））」を公表した。Microsoftは2026年8月18日に修正パッチを配信している。

AIが自らの脆弱性を開示する「メタハッキング」と3つの欠陥

Varonisの研究チームは、Copilot自身との対話を通じて推論を誘導し、未公開の仕様やガードレール回避手法を聞き出す「メタハッキング（AIの推論ロジックを誘導して制限事項や内部仕様を開示させる手法）」を用いて本脆弱性を発見した。

CoSnitchは以下の3つの欠陥を組み合わせることで成立する攻撃チェーンである。

1. ​プロンプトの自動実行​: 未文書化のURLパラメータ（?q=<prompt>&autorun=1）により、ユーザーの確認や入力操作なしにページ読み込みと同時に任意のプロンプトを実行。
2. ​外部Webhookへのデータ持ち出し​: OAuth連携されたGmailやGoogle Drive、Calendar、OneDriveなどの本文や認証情報をCopilotに検索・収集させ、URLパスにBase64エンコードしてCopilotのWeb取得機能（GETリクエスト）で外部サーバーへ送信。
3. Web要約を通じた永続メモリの汚染​: 間接的プロンプトインジェクション（外部Webページ等に埋め込まれた悪意ある指示をAIが誤実行する攻撃）により、ユーザーの永続メモリ（Persistent Memory）に攻撃者の指示を永続的に書き込む。

Varonisが報告したCopilot脆弱性の比較

Varonis Threat Labsが2026年に公表したMicrosoft Copilot関連の脆弱性は本件で3件目となる。

脆弱性名	対象製品	攻撃手法・特徴
Reprompt	Microsoft Copilot	同じ質問を2回繰り返すことでガードレールを回避
SearchLeak	Microsoft 365 Copilot Enterprise	組織内検索のコンテキストを悪用した無音データ窃取
CoSnitch (CVE-2026-24301)	Microsoft Copilot Personal	URL自動実行とOAuth連携・Web要約の悪用によるデータ持ち出しとメモリ永続汚染

影響範囲と利用者が把握すべき対策

CoSnitchによる永続メモリの改ざんは、パスワード変更やセッションの切断、デバイスの再登録を行っても消去されず、ユーザーが手動でメモリ設定を削除しない限り保持される特性を持つ。

Varonisによると、2025年12月にMicrosoftへ報告され、2026年8月18日にパッチ適用が完了している。現時点で野生環境での悪用事例は確認されていない。

利用者は以下の点に留意することが推奨される：

• 見知らぬリンクからAIアシスタントを開く際は、実行されるクエリ内容に注意する。
• Copilotに連携する外部サービス（Gmail、Google Driveなど）は必要最小限に留める。
• Copilotの設定画面で保存されているメモリ内容を定期的に確認する。

分析と展望：自然言語推論エンジンが抱える新たなセキュリティ課題

本件の最大の特異点は、従来のバイナリ解析やリバースエンジニアリングではなく、AIの対話推論そのものをソーシャルエンジニアリングして脆弱性を暴いた点にある。

AIエージェントがメールやクラウドストレージなどの権限を統合して自律的にタスクを実行する設計が広がるなか、正規のアクセス権限をAIの機能経由で不正行使させる攻撃手法は、従来のネットワーク境界防御やログ監視では検知が困難である。AIアシスタントを「高権限を持つ内部関係者」と同等に扱い、ツール呼び出しやWeb取得の挙動に対する細粒度の認可と異常検知の導入が不可欠となっている。

引用元：Varonis | GIGAZINE