flawopen.com/AI Security/microsoft-copilot-cosnitch-cve-2026-24301-autorun-information-disclosure

● CVE-2026-24301 · CVSS 8.8^[3] · 高危

安全研究 · FlawOpen

CoSnitch：Microsoft Copilot CVE-2026-24301 提示注入漏洞

Varonis 报告称，特制的 Copilot Personal 链接可自动执行 prompt 并暴露已连接的数据。Microsoft 表示企业客户未受影响；服务端修复于 2026 年 8 月 18 日部署。^{[2], [3], [4], [5]}

CVSS 向量

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H^[3]

💡 通俗易懂的原理解析 (ELI5)

设想一位前台接待员通常会读出访客的便条，并等对方说“发送”。便条上的隐藏开关让接待员一打开便条就立刻行动，再利用获准使用的通讯录和邮寄服务把信息发出去。Varonis 称，CoSnitch 将这种 prompt 自动执行与 Copilot 对已连接数据的访问及网页抓取功能结合起来。用户仍需点击链接；报告中的漏洞省去了页面打开后的再次确认。^{[4], [5]}

核心概念与专有名词

CVE-2026-24301: Microsoft 的 CVE 记录将其描述为 Copilot 信息泄露漏洞，标注 CWE-77 和 CVSS 3.1 8.8（高危）；记录中的向量要求用户交互。 Varonis 报告的攻击链影响 Copilot Personal；Microsoft 向 Dark Reading 表示企业客户未受影响。Microsoft 的 CVE 记录将产品列为 Copilot Web，但公开记录没有给出详细的受影响产品版本或构建号。^{[2], [3], [1], [4], [5]}
CoSnitch: Varonis Threat Labs 对其报告链路的命名，包括 prompt URL 参数、自动执行、查询已连接应用以及抓取外部 URL。这些机制来自研究人员报告，并非 Microsoft 发布的源代码。^{[4], [5]}
Prompt prefill and auto-run: Varonis 报告称，Copilot 的 q 参数可以预填 prompt，而未公开的 autorun 参数会在页面加载时执行它。用户仍需点击特制链接。^[4]
Connected-app authorization: 助手可以查询用户已连接并授权的数据。CoSnitch 报告中的影响依赖于已经授予 Copilot 的访问权限；它并未攻破 Gmail、Google Drive 或 OAuth 本身。^{[4], [5]}
CWE-77: Command Injection: Microsoft CNA 记录将其归类为未能正确中和命令中的特殊元素。公开记录没有披露 Microsoft 的实现或源码补丁，因此本文不推断其内部命令边界。^{[2], [3]}

框架映射

攻击执行流程分解

步骤 1

用户点击特制的 Copilot 链接

Varonis 报告称，该链接指向 Copilot Personal，并将 prompt 预填参数与未公开的自动运行参数组合。需要点击链接这一条件与 CVE 向量要求用户交互相符。Microsoft CVE 记录将受影响产品列为 Copilot Web，但没有给出详细的构建版本范围。^{[4], [2], [5]}

步骤 2

Prompt 无需再次确认便执行

据 Varonis 称，自动运行行为会在 Copilot 加载时执行已预填的 prompt。研究报告称，用户打开链接后无需再按 Enter。Microsoft 公告未公开底层代码或详细触发条件。^{[4], [5]}

步骤 3

Copilot 查询账户中已连接的数据

Varonis 称其演示利用 Copilot 对已连接应用的权限，获取选定的邮件、日历或文件信息。这是研究人员报告的影响路径；不代表每个账户都启用了所有连接器，也不代表连接器本身遭到入侵。^{[4], [5]}

步骤 4

网页抓取功能提供数据外传路径

Varonis 报告称，prompt 可以指示 Copilot 抓取包含所获数据的外部 URL。本文不复现报告中的活动 URL、请求字符串或外传载荷。披露时，Varonis 表示没有发现真实攻击中的利用证据。^[4]

步骤 5

Microsoft 在托管服务端部署修复

Varonis 称 Microsoft 于 2026 年 8 月 18 日部署了修复，客户无需采取行动。Microsoft 的 CVE 记录确认了分类和评分，但未描述缓解措施。这是服务端修复，不是需要安装的客户端软件包或版本。^{[4], [5], [1]}

源代码对比：漏洞与安全实现

Microsoft 在所引记录中未公开受影响源代码或补丁 diff。这个有限的设计模型只允许通过可见按钮的可信点击事件执行；URL 控制的文本可以填充预览，但不能自行触发执行。生产系统还必须在工具边界实施授权检查。此模型并非对 Copilot 内部实现的重构，也不声称描述了 Microsoft 的确切修复。^{[4], [3]}

存在漏洞的实现

// 抽象风险模型——不是 Microsoft 源代码
function onCopilotPageLoad(url, assistant) {
  const prompt = url.searchParams.get('q');
  if (prompt && url.searchParams.get('autorun') === '1') {
    return assistant.execute(prompt);
  }
  return assistant.showPrompt(prompt);
}

加固后的安全修复

// 安全设计模型——不是 Microsoft 补丁
function onCopilotPageLoad(url, assistant, render, executeButton) {
  const prompt = url.searchParams.get('q') ?? '';
  // URL 输入可以填充预览，但绝不能授权操作。
  render.showPromptPreview(prompt);
  executeButton.addEventListener('click', (event) => {
    if (!event.isTrusted) return;
    // 只有点击可见执行按钮产生的可信事件才能到达此调用。
    assistant.execute(prompt);
  });
}

工程与系统安全加固清单

✓将 URL 参数视为不可信输入：它们可以填入可见预览，但绝不能单独授权 AI 执行动作。^[4]
✓在外部提供的 prompt 文本与会产生后果的工具或连接器执行之间，保留明确且可见的用户操作。^[4]
✓仅授予助手完成任务所需的连接应用权限，并检查未使用的连接器。^{[4], [5]}
✓FlawOpen 分析：助手抓取外部 URL 或向租户外发送数据前，应独立执行授权和目标地址检查。
✓对于 CVE-2026-24301，Varonis 报告 Microsoft 已于 2026 年 8 月 18 日在服务端修复，客户无需采取行动；不要臆造客户端版本或本地修补步骤。^{[4], [5], [1]}
✓FlawOpen 分析：若怀疑发生数据暴露，依照供应商当前指引检查连接账户访问和相关日志；本文查阅的公开资料没有提供该 CVE 专用的检测流程。

参考来源

← AI Security Directory →