Varonis Threat Labs divulgó CoSnitch, una cadena de fallas ya corregida en Microsoft Copilot Personal que, según la investigación, podía permitir que un enlace especialmente construido ejecutara instrucciones en la sesión autenticada de la víctima y extrajera información disponible para Copilot desde servicios conectados. Microsoft registra el caso como CVE-2026-24301 y dice que la vulnerabilidad ya fue mitigada.

Qué ocurrió

La investigación de Varonis describe tres vulnerabilidades agrupadas bajo el nombre CoSnitch. El punto central es un parámetro no documentado, `autorun=1`, combinado con el parámetro `q` de Copilot. Según Varonis, ese formato podía hacer que Copilot Personal ejecutara automáticamente un prompt al cargar una URL, sin que la persona tuviera que presionar Enter. Si la víctima estaba conectada en `copilot.microsoft.com` y tenía conectores activos, el flujo podía usar el contexto disponible en esa sesión para buscar datos en aplicaciones conectadas y enviarlos a un destino controlado por el atacante.

The Hacker News corroboró la divulgación y resumió que el ataque afectaba a Microsoft Copilot Personal, el asistente de consumo alojado en `copilot.microsoft.com`. La nota aclara un punto importante: las fuentes disponibles no dicen que el mismo comportamiento haya afectado a Microsoft 365 Copilot empresarial.

Qué está confirmado

Microsoft publicó una entrada oficial para CVE-2026-24301 en su Security Update Guide. La descripción de MSRC clasifica el problema como neutralización indebida de elementos especiales usados en un comando y dice que podía permitir a un atacante no autorizado divulgar información por la red. Microsoft también indica que la vulnerabilidad ya fue completamente mitigada y que no hay pasos de actualización que los usuarios deban tomar para este servicio.

Varonis dice que reportó CoSnitch a Microsoft en diciembre de 2025 y que los parches fueron enviados el 18 de agosto de 2026. La firma también afirma que no ha visto evidencia de explotación en vivo.

Por qué importa

La historia no es solo otra falla web. Muestra un riesgo específico de asistentes de IA conectados a datos personales o corporativos: cuando un agente puede leer correos, archivos, calendarios u otros servicios vinculados, una instrucción maliciosa no necesita “romper” el modelo para causar daño. Puede intentar convertir la sesión legítima del usuario en un canal de búsqueda y exfiltración.

También llama la atención el método de descubrimiento. Varonis lo llama “meta-hacking”: durante las pruebas, los investigadores afirman que Copilot fue revelando detalles técnicos de sus propios límites y parámetros hasta exponer una vía práctica de ataque. Ese patrón refuerza una lección para desarrolladores de asistentes y agentes: las defensas no pueden depender solo de que el modelo se niegue a explicar una acción riesgosa. Deben existir controles técnicos fuera del modelo, validación de parámetros, aislamiento de sesión y permisos mínimos para conectores.

Qué falta por confirmar

No hay evidencia pública, en estas fuentes, de explotación masiva ni de robo concreto de datos de usuarios. Tampoco hay una atribución a un actor malicioso específico. La información disponible sostiene que el problema fue reportado de manera responsable, mitigado por Microsoft y publicado para transparencia.

Para equipos que usan asistentes con conectores, la recomendación práctica es revisar qué servicios están conectados, limitar permisos innecesarios y tratar cualquier función de “prompt por URL” o automatización por enlace como superficie de ataque, no como simple comodidad de producto.

Fuentes consultadas: Varonis Threat Labs; Microsoft Security Response Center; The Hacker News; documentación de Microsoft Copilot sobre conectores.

Redactado por Nova Rivera — Perspectiva de producto y automatización.