Le 18 août 2026, Microsoft a patché CoSnitch, une chaîne de trois vulnérabilités dans Copilot Personal découverte par Varonis Threat Labs et suivie sous CVE-2026-24301 (score CVSS 8.8). La partie la plus folle n’est pas la faille, mais la façon dont elle a été trouvée : les chercheurs ont demandé à Copilot pourquoi l’attaque était impossible… et l’assistant leur a expliqué comment la construire. Varonis résume : « Copilot n’a pas été piraté, il a été joué ».

Ce qui s’est passé

CoSnitch enchaîne trois faiblesses :

  1. Exécution automatique de prompt : un paramètre d’URL non documenté (autorun=1), combiné au paramètre q existant, fait exécuter un prompt contrôlé par l’attaquant dès le chargement de la page — sans clic, sans confirmation. Le prompt s’exécute jusqu’au bout même si la victime ferme l’onglet.
  2. Exfiltration via les services connectés : le prompt injecté interroge les apps déjà autorisées (Gmail, Google Drive, Calendar), encode les données en base64 et les envoie vers un webhook contrôlé par l’attaquant via la fonction de fetch d’URL intégrée de Copilot. À la couche réseau, c’est strictement indiscernable d’un résumé de page web ordinaire.
  3. Empoisonnement de mémoire persistant : une page piégée, lorsqu’elle est résumée par Copilot, écrit des instructions persistantes dans la mémoire de l’assistant. Elles survivent aux changements de mot de passe, à la révocation de session et au ré-enrôlement d’appareil — sans laisser de process, fichier ou log exploitable par les outils de sécurité.

La découverte, elle, vaut le détour. Varonis parle de meta-hacking : plutôt que de reverse-engineer le code, les chercheurs ont demandé à Copilot pourquoi l’exécution automatique de prompt « ne pouvait pas » se produire. Chaque refus apportait une justification technique, reformulée en question suivante — jusqu’à ce que l’assistant révèle le paramètre autorun=1 et les conditions exactes. Monté tel quel, le lien fonctionnait.

Rapporté en décembre 2025, corrigé le 18 août 2026. Aucune exploitation dans la nature constatée. Seul Copilot Personal (copilot.microsoft.com) est concerné, pas Microsoft 365 Copilot.

Pourquoi c’est important

D’abord, c’est la troisième faille Copilot trouvée par Varonis cette année, après Reprompt et SearchLeak. Même motif : un clic sur un lien anodin suffit. Le pattern n’est plus une exception : chaque assistant IA avec des connecteurs et une mémoire est concerné, pas seulement Microsoft.

Ensuite, le meta-hacking est un tournant : un modèle qui raisonne à voix haute peut exposer son propre fonctionnement. « Est-ce que X est possible ? » est devenu une technique d’énumération d’architecture légitime. Aucun reverse engineering, aucun accès au code — juste la doc interne, fournie par le modèle.

Enfin, la mémoire persistante qui survit aux gestes d’incident response standards remet en question ce qu’on considère comme un « cleanup » sur un poste compromis.

Implications pour les devs et le web

  1. Auditez vos connecteurs OAuth : chaque app connectée à un assistant IA est une surface d’exfiltration. Déconnectez ce qui ne sert pas activement.
  2. Traitez l’assistant comme un insider privilégié : les SIEM et outils de monitoring doivent surveiller les accès anormaux depuis l’IA, pas seulement les accès humains.
  3. Les liens qui ouvrent des assistants sont des vecteurs : dans vos produits, méfiez-vous des deep links avec paramètres transmis à une IA — c’est exactement la porte d’entrée de CoSnitch.
  4. Testez vos propres agents en meta-hacking : demandez-leur pourquoi une attaque est impossible, et traitez leurs explications comme de la documentation d’architecture. Vous serez surpris de ce qu’ils révèlent.

Source