flawopen.com/AI Security/microsoft-copilot-cosnitch-cve-2026-24301-autorun-information-disclosure
CoSnitch：Microsoft Copilot CVE-2026-24301 の prompt 自動実行脆弱性
Varonis は、細工した Copilot Personal リンクが prompt を自動実行し、接続済みデータを露出させる可能性を報告しました。Microsoft は法人顧客には影響しなかったと説明し、2026 年 8 月 18 日にサービス側の修正を展開しました。[2], [3], [4], [5]
通常は来訪者のメモを読み上げ、「送って」と言われるまで待つ受付係を想像してください。メモに隠されたスイッチがあると、開いた瞬間に受付係が動き、許可された名簿や郵便サービスを使って情報を外部へ送ってしまいます。Varonis によると、CoSnitch はこのような prompt の自動実行を、Copilot の接続データへのアクセスと Web 取得機能に組み合わせたものです。リンクのクリックは必要でしたが、ページを開いた後の確認が省かれました。[4], [5]
主要な概念と専門用語
CVE-2026-24301- Microsoft の CVE レコードは、Copilot の情報漏えい脆弱性として記載しています。
CWE-77、CVSS 3.1 で 8.8（High）とされ、記載されたベクトルではユーザー操作が必要です。 Varonis が報告した攻撃チェーンの対象は Copilot Personal でした。Microsoft は Dark Reading に法人顧客への影響はなかったと説明しています。Microsoft の CVE レコードでは製品名が Copilot Web とされていますが、公開情報に詳細な対象バージョンやビルドはありません。[2], [3], [1], [4], [5] CoSnitch- Varonis Threat Labs が報告した、prompt の URL パラメーター、自動実行、接続済みアプリへの問い合わせ、外部 URL の取得からなる連鎖の名称です。この仕組みの説明は研究者の報告に基づき、Microsoft のソースコード公開ではありません。[4], [5]
Prompt prefill and auto-run- Varonis によると、Copilot の q パラメーターは prompt を入力欄に設定でき、未公開の autorun パラメーターがページ読み込み時に実行させました。細工したリンクをクリックする必要は残っていました。[4]
フレームワーク対応
ステップ・バイ・ステップの攻撃フロー
Web 取得機能がデータの送信経路になる
Varonis は、取得したデータを含む外部 URL を Copilot に取得させる prompt が可能だったと報告しています。本記事では、報告にある実際の URL、リクエスト文字列、流出用ペイロードを再掲しません。開示時点で Varonis は実環境での悪用を示す証拠はないと述べました。[4]
ソースコード比較：脆弱 vs 堅牢化
引用した記録では、Microsoft は影響を受けたソースコードやパッチ差分を公開していません。この限定的な設計モデルでは、表示されたボタンの信頼できるクリックイベントからのみ実行します。URL で制御されたテキストはプレビューに使えても、実行を開始できません。本番システムではツール境界でも認可を強制する必要があります。これは Copilot 内部の再現でも Microsoft の正確な修正の説明でもありません。[4], [3]
// 抽象的なリスクモデル — Microsoft のソースコードではありません
function onCopilotPageLoad(url, assistant) {
const prompt = url.searchParams.get('q');
if (prompt && url.searchParams.get('autorun') === '1') {
return assistant.execute(prompt);
}
return assistant.showPrompt(prompt);
}// 安全な設計モデル — Microsoft のパッチではありません
function onCopilotPageLoad(url, assistant, render, executeButton) {
const prompt = url.searchParams.get('q') ?? '';
// URL 入力はプレビューに反映できますが、操作を許可してはいけません。
render.showPromptPreview(prompt);
executeButton.addEventListener('click', (event) => {
if (!event.isTrusted) return;
// 表示された実行ボタンへの信頼できるクリックだけがこの呼び出しに到達します。
assistant.execute(prompt);
});
}エンジニアリング＆システム堅牢化チェックリスト
- ✓URL パラメーターを信頼できない入力として扱い、見えるプレビューへの入力には使っても、AI アクションを単独で許可させないでください。[4]
- ✓外部から渡された prompt と、影響のあるツールやコネクターの実行の間に、明示的で目に見えるユーザー操作を要求してください。[4]
- ✓アシスタントにはタスクに必要な接続アプリの権限だけを与え、未使用のコネクターを見直してください。[4], [5]
- ✓FlawOpen の分析: アシスタントが外部 URL を取得したりテナント外へデータを送信したりする前に、独立した認可と送信先の制御を適用してください。
- ✓
CVE-2026-24301について、Varonis は Microsoft が 2026 年 8 月 18 日にサービス側の修正を展開し、顧客の対応は不要と報告しています。クライアントのバージョンやローカルのパッチ手順を作り出さないでください。[4], [5], [1] - ✓FlawOpen の分析: 情報露出が疑われる場合は、ベンダーの最新ガイダンスに従って接続アカウントのアクセスと関連ログを確認してください。参照した公開資料には、この CVE 固有の検出手順はありません。