Los fallos de Copilot Personal permitían que un enlace preparado por un atacante ejecutara instrucciones dentro de la sesión autenticada de la víctima. La cadena, identificada como CVE-2026-24301 y bautizada como CoSnitch por Varonis Threat Labs, podía consultar servicios conectados al asistente y enviar los resultados a un servidor externo.
Microsoft distribuyó las correcciones el 18 de agosto, después de que Varonis comunicara las vulnerabilidades en diciembre de 2025. El problema no ampliaba los permisos de la cuenta: abusaba de los accesos que el usuario ya había concedido a Copilot para leer correo, calendarios, archivos y otros contenidos.
El parámetro de URL autorun=1 podía iniciar automáticamente un prompt incluido en un enlace. La cadena también aprovechaba la lectura de páginas web para sacar datos codificados en la propia dirección solicitada por Copilot.
Un parámetro no documentado permitía lanzar prompts sin pulsar Enviar
La investigación comenzó cuando los analistas preguntaron a Copilot por qué un prompt no podía ejecutarse sin interacción del usuario. Las respuestas del asistente fueron aportando detalles sobre la estructura de los enlaces, los deep links y el comportamiento de la página cuando el campo de entrada ya aparecía cumplimentado.
En ese proceso, Copilot llegó a mencionar autorun=1 y otros parámetros internos. Varonis construyó una dirección siguiendo esas indicaciones y comprobó que el mecanismo funcionaba, aunque supuestamente debía estar desactivado. El parámetro q solo rellenaba el cuadro de texto y requería una acción adicional; la ejecución automática necesitaba combinar ambos.
Una vez iniciado el prompt, la cadena podía continuar aunque la víctima cerrase rápidamente la pestaña. Según las pruebas descritas por Varonis, esto incluía llamadas de red, invocaciones de conectores y procesos de varios turnos.
El ataque utilizaba los permisos concedidos a Copilot
En los ensayos, Copilot pudo devolver cuerpos completos de mensajes de correo vinculados mediante OAuth, además de asuntos, remitentes y destinatarios. También quedaron expuestos datos de calendarios, nombres y metadatos de archivos de Google Drive, conversaciones anteriores e instrucciones guardadas en la memoria del asistente. Uno de los mensajes recuperados contenía una contraseña en texto plano.
Para extraer la información, el prompt hacía que Copilot recuperase y resumiese una página web controlada por el atacante. Los datos se codificaban en base64 y se añadían a la ruta de una URL externa. Así, la petición podía parecer una consulta web normal, sin cabeceras o puertos inusuales que facilitasen su detección.
El incidente no se basaba en un fallo de Gmail ni del protocolo OAuth. El riesgo procedía de que las instrucciones introducidas desde el enlace podían activar conectores con los permisos legítimos de la cuenta, aunque la acción no hubiese sido iniciada de forma consciente por el usuario.
La memoria persistente añadía otro riesgo
La tercera vulnerabilidad descrita no requería un enlace con ejecución automática. Bastaba con pedir a Copilot que resumiera una página web manipulada: instrucciones ocultas en sus metadatos podían acabar almacenadas en la memoria permanente del asistente y reutilizarse en conversaciones posteriores.
Varonis afirma que esas instrucciones podían sobrevivir a un cambio de contraseña, la revocación de sesiones y el registro de otro dispositivo. Para eliminarlas, el usuario debía borrar manualmente la entrada desde la configuración de memoria. La comunicación disponible no aclara si las correcciones de Microsoft eliminaron de forma retroactiva las instrucciones almacenadas antes del parche.
Microsoft ya había mitigado en febrero una parte del problema al impedir que q insertase texto en el campo de entrada. Esa medida también afectó a integraciones de terceros en navegadores que utilizaban el parámetro. Las correcciones más amplias llegaron el 18 de agosto y no requieren instalar una actualización en el cliente.
Si estás siguiendo este tema, también puedes consultar Microsoft elimina Mico, Group Chat y Copilot Labs de Copilot.
Qué pueden revisar los usuarios
Varonis recomienda revisar las aplicaciones conectadas a Copilot y desconectar las que ya no sean necesarias. También aconseja tratar el asistente como una cuenta con acceso privilegiado, controlar sus permisos y desconfiar de los enlaces diseñados para abrir directamente una conversación o una instrucción.
El caso se suma a otras investigaciones del mismo grupo sobre Copilot, entre ellas Reprompt y SearchLeak. La corrección reduce la cadena documentada, pero la persistencia de instrucciones en la memoria y la dependencia de permisos previamente concedidos muestran que la configuración de conectores sigue siendo un elemento relevante para la seguridad.
Conclusión
CoSnitch combinaba un parámetro de URL no documentado, instrucciones manipuladas y accesos legítimos a servicios conectados para convertir un clic en una cadena de extracción de datos. Copilot Personal ya ha recibido correcciones, pero los usuarios deberían revisar sus conexiones y comprobar el contenido de su memoria para retirar instrucciones que no reconozcan.
El episodio también evidencia un riesgo específico de los asistentes con herramientas: una respuesta que revela detalles internos puede ayudar a localizar funciones no documentadas. La evaluación independiente de las medidas aplicadas y el tratamiento de las entradas de memoria creadas antes del parche quedan como cuestiones pendientes.
Encuentra más IA en nuestra sección de IA o suscríbete a Guslok – Guías 100% en YouTube para más contenido.
Sobre el Autor
