O Microsoft Copilot revelou sua própria falha; um link dizia: “Leia sua caixa de entrada”

Pesquisadores da Varonis conseguiram que o assistente de IA da Microsoft, o Copilot, revelasse seu próprio ponto fraco. Eles insistiram em perguntar por que um comando não podia ser executado por conta própria. O Copilot explicou o raciocínio por trás de cada recusa. No meio da recusa, ele mencionou um parâmetro não documentado para a barra de endereços, juntamente com as proteções que a Microsoft havia implementado em torno dele. Os pesquisadores criaram o endereço exatamente como descrito. Funcionou.

A Microsoft corrigiu a vulnerabilidade em 18 de agosto. Ela está registrada como CVE-2026-24301 e classificada como crítica, com uma pontuação CVSS de 8,8 em 10. O CVSS é a escala padrão do setor para avaliar a gravidade de uma falha de segurança. O produto afetado foi o Copilot em sua versão para consumidores, o aplicativo que a Microsoft recentemente integrou ao plano de assinatura.

Um clique, e o assistente passava a funcionar para estranhos

O ataque, que a Varonis denominou de CoSnitch, não precisava de nada além de um link. Ao clicar nele, o Copilot era aberto dentro da própria sessão em que a vítima estava conectada. O parâmetro adicional no endereço fazia com que a instrução do invasor fosse executada imediatamente, sem solicitação e sem a necessidade de pressionar o botão “enviar”. O Copilot, então, pesquisava a caixa de entrada conectada, a agenda e a unidade na nuvem, compactava o que encontrava em um endereço da web e o recuperava. Para as ferramentas de segurança que monitoravam a rede, isso parecia uma página comum que o Copilot havia sido solicitado a resumir.

Nos testes dos pesquisadores, isso revelou senhas que alguém havia simplesmente enviado por e-mail. Além disso, foram obtidas informações sobre reuniões — incluindo participantes e locais —, nomes de arquivos da unidade na nuvem e o histórico anterior de bate-papos.

Por que uma nova senha não adiantou

A parte mais perigosa está na memória de longo prazo. O Copilot lembra-se de coisas além de uma única conversa. Peça-lhe para resumir uma página da web com uma armadilha e ele gravará as instruções ocultas ali nessa memória. Para o usuário, a resposta parecia um resumo comum. O fato de um assistente poder receber instruções dessa forma não é uma descoberta nova.

A entrada permaneceu lá. Uma nova senha não a apagou, sair de todas as sessões também não, e registrar o dispositivo novamente não fez diferença. Essas três etapas são exatamente o que as pessoas fazem quando suspeitam que alguém acessou sua conta.

O que você pode verificar agora

A Microsoft corrigiu a falha em seus próprios servidores, portanto, ninguém precisa instalar nada. A Varonis não encontrou indícios de que alguém tenha realmente utilizado o ataque. A falha foi relatada em dezembro de 2025 e a correção foi implementada oito meses depois.

Caso deseje verificar mesmo assim: no site copilot.microsoft.com, o botão “Conta” na barra lateral leva à memória armazenada. Todas as entradas estão listadas ali, e você pode excluí-las uma a uma ou todas de uma vez. Qualquer item que não pertença ao local tende a se destacar logo na primeira leitura.

O CoSnitch é a terceira falha do Copilot que a Varonis identificou este ano. As outras duas seguiram o mesmo padrão: um clique em um link que parecia inofensivo.