根據 Varonis Threat Labs 的研究報告，Microsoft Copilot 個人版（hosted at copilot.microsoft.com）被發現存在三項嚴重漏洞，研究人員將此系列漏洞命名為 CoSnitch（追蹤編號 CVE-2026-24301）。這些漏洞允許攻擊者透過精心構造的連結，在使用者點擊後，無需進一步互動即可在後台靜默執行指令，進而將使用者已授權連線的應用程式數據外洩至外部伺服器。
背景與漏洞發現過程
這次漏洞的發現過程極具啟發性，研究人員採用了一種稱為 Meta-hacking（元駭客技術）的方法。他們並非直接嘗試攻擊，而是反覆詢問 Copilot 為什麼某些提示詞（Prompt）無法在沒有使用者互動的情況下執行。在 AI 的多次拒絕與技術解釋中，Copilot 意外地透露了一個未公開的 URL 參數：autorun=1。
研究人員發現，雖然 Copilot 在對話中聲稱該參數已失效或受保護，但實際測試證明，只要將此參數與現有的 q 參數（用於預填輸入框的參數）結合，就能繞過使用者的手動觸發動作。這意味著攻擊者不再需要誘導使用者輸入指令，只要使用者點擊一個包含特定參數的連結，Copilot 就會立即以該使用者的身分執行惡意指令。
核心運作機制與攻擊路徑
CoSnitch 的攻擊路徑主要分為兩個階段：自動執行與數據外洩。
首先是自動提示詞執行。當受害者點擊包含 autorun=1 和 q 參數的連結時，Copilot 會在頁面載入時立即執行 q 參數中定義的指令。即使使用者在頁面載入後立即關閉分頁，該指令仍會持續執行直到完成。
其次是透過連線服務外洩數據。由於 Copilot 具有連接第三方應用程式的能力（例如 Google Drive 或電子郵件），注入的惡意指令可以要求 Copilot 查詢這些已授權服務中的敏感資訊。例如，攻擊者可以指令 Copilot 讀取郵件主旨、收件人、行事曆時間或雲端硬碟中的檔案名稱。接著，Copilot 會將這些獲取的數據進行 Base64 編碼（一種將二進位數據轉換為文字格式的編碼方式，可用於規避某些安全過濾器的偵測），並利用 Copilot 內建的 URL 抓取功能，將數據發送到攻擊者控制的 Webhook（一種接收即時數據通知的伺服器端接點）。
除了上述路徑，研究人員還發現了第三個獨立漏洞，涉及記憶體污染（Memory Poisoning）。當 Copilot 摘要一個由攻擊者控制的惡意網頁時，該網頁可以誘導 Copilot 將惡意指令寫入使用者的記憶體儲存區（Memory Store）。這類指令具有高度持久性，即使使用者更改密碼、撤銷工作階段或重新註冊裝置，惡意指令依然存在，直到使用者手動從記憶體設定中將其刪除。
實務影響與安全限制
在實際測試中，CoSnitch 能夠獲取大量私密資訊，包括連線郵件帳戶的郵件內容、行事曆詳情、Google Drive 的檔案元數據，以及使用者在記憶體儲存區中定義的個人規則與歷史對話。
值得注意的是，這種攻擊方式在網路層級上極難被偵測。因為 Copilot 發送外洩數據的請求，在形式上與它平時摘要網頁而進行的正常網路請求幾乎完全相同。此外，記憶體污染路徑在系統層面不會產生任何異常的進程、檔案或網路連接記錄，傳統的安全監控工具無法對此類變更發出警報。
然而，此漏洞有其權限限制。攻擊者無法透過 CoSnitch 獲取使用者原本未授權的權限，它僅能存取使用者已經在 Copilot 中授權連線的服務內容。此外，目前該漏洞僅確認影響 Copilot 個人版，並未提及 Microsoft 365 Copilot 是否受影響。
緩解措施與建議
Microsoft 已於 2026 年 8 月 18 日發布修補程式。針對此類 AI 助手漏洞，Varonis 建議使用者採取以下預防措施：
第一，審視並清理連線應用程式。檢查 Copilot 中所有已連線的第三方服務，將不需要的授權全部移除，以縮小潛在的數據外洩範圍。
第二，將 AI 助手視為高權限內部人員。在進行存取審查與異常偵測時，應將 AI 助手的行為納入監控範圍。
第三，對連結保持警覺。對於任何會直接開啟 AI 助手對話視窗的外部連結應保持高度懷疑，避免在未確認來源的情況下點擊。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。