Microsoftの個人向けCopilotに脆弱性「CoSnitch」が判明、1クリックで連携データの外部流出につながる恐れ

要点

• セキュリティ企業のVaronis Threat Labsが、個人向けAI「Microsoft Copilot Personal」に存在する3件の脆弱性群「CoSnitch」（CVE-2026-24301）を公表した。

• 悪意あるリンクを1回クリックするだけで、ユーザー操作なしにプロンプトが自動実行され、連携済みサービスのデータが外部へ送信されるリスクが判明した。

• Web要約機能を介して、攻撃者の指示をCopilotのメモリストアへ永続的に書き込むメモリ汚染の手法も確認された。

• AIアシスタント自身との対話から非公開パラメータの仕様を引き出す「メタハッキング」手法により発見された。

• 2025年12月の報告を経て2026年8月18日に修正パッチが配信されており、現時点で悪用された形跡は確認されていない。

• セキュリティ企業のVaronis Threat Labsは、個人向けAIアシスタント「Microsoft Copilot Personal」において、連携アプリのデータなどを外部に流出させる恐れのある3件の脆弱性を公表した。「CoSnitch」と名付けられたこの脆弱性群は、Microsoftのセキュリティガイドにおいて「CVE-2026-24301」として追跡されている。Varonisによる2025年12月の報告を経て、2026年8月18日に修正パッチが配信された。なお、現時点で実際の攻撃に悪用された形跡は確認されていないという。

未公開パラメータによる自動プロンプト実行

CoSnitchの中核となるのは、細工されたURLを被害者が1回クリックするだけで成立する攻撃手法だ。CopilotのWebインターフェースでは、URLパラメータ「q」を用いて入力欄へテキストを事前入力できる仕様があるが、通常はユーザー自身が送信操作を行わなければプロンプトは実行されない。

しかしVaronisの調査により、未公開パラメータ「autorun=1」を「q」と組み合わせることで、ページ読み込み時にユーザー操作なしでプロンプトが自動実行されることが判明した。この処理は被害者の認証済みセッション内で実行され、手動入力と同等の権限を持つ。被害者がページの読み込み直後にブラウザのタブを閉じたとしても、バックグラウンドでプロンプトの処理が最後まで完了する挙動が確認されたという。

連携サービスからのデータ持ち出しと通信の偽装

自動実行されたプロンプトは、ユーザーがCopilotへのアクセスを許可している外部サービスから情報を抽出することが可能だった。検証では、連携されたメールアカウントの本文・件名・送受信者情報、カレンダーの予定タイトル・日時・参加者・場所、Google Drive上のファイル名やメタデータの要約、過去のチャット履歴、メモリストア内の設定ルールなどが取得できたとしている。

抽出されたデータは、Copilotの内蔵Web取得機能（URLフェッチ）を利用して、攻撃者が管理するサーバーへ送信される。この通信は通常のWebページを要約する際の通信とネットワーク層で区別がつかず、Base64形式でエンコードすることで機密情報を検知する監視フィルターをすり抜けることも可能だった。なお、この手法はユーザーが本来持っている権限の範囲内で動作するものであり、Copilotに対して新たな権限を付与したりアクセス範囲を拡大したりするものではないと説明されている。

Web要約を通じた永続的なメモリ汚染

同社が報告した3つ目の脆弱性は、Copilotの記憶領域を標的としたメモリ汚染だ。攻撃者が細工したWebページをCopilotに要約させると、要約処理を通じて攻撃者の指示がメモリストアへ書き込まれる。

書き込まれた指示は、パスワードの変更やセッションの破棄、端末の再登録を経ても維持され、ユーザーが設定画面から手動で削除するまで以降の会話に影響を与え続ける。さらに、このメモリへの書き込み処理はOS上のプロセス起動やファイル生成、通信ログなどを伴わないため、検知が極めて困難であるとされている。

AI自身から情報を引き出す「メタハッキング」

今回の「autorun=1」パラメータは、研究者がCopilot自身に問いかける「メタハッキング」によって発見された。「なぜユーザー操作なしにプロンプトを実行できないのか」と繰り返し質問したところ、Copilotが技術的根拠を説明する中で、該当パラメータ名や動作条件、無効化されているはずの保護機能について自ら明かしたという。

説明通りにURLを構築した結果、無効とされていたパラメータが実際に動作した。Varonisは報告書の中で、Copilotについて「侵害されたのではなく、乗せられた（wasn't breached; it was played）」と表現している。

対象範囲と修正状況

調査対象となったのは「copilot.microsoft.com」で提供されるコンシューマー向けのCopilot Personalであり、企業向けの「Microsoft 365 Copilot」への影響については言及されていない。Microsoftは2026年8月18日に修正パッチを公開しており、現在は脆弱性が解消されている。