CoSnitch : Microsoft Copilot exfiltre vos données en un clic

Quand l'IA révèle ses propres failles aux chercheurs qui posent les bonnes questions

Le 18 août 2026, Microsoft a publié un correctif pour CVE-2026-24301, une vulnérabilité critique dans Microsoft Copilot Personal baptisée CoSnitch par ses découvreurs de Varonis Threat Labs. La faille permettait à un attaquant d'exfiltrer silencieusement des données sensibles depuis les comptes connectés d'une victime — Gmail, Google Drive, Outlook, Google Calendar, historique de conversation Copilot et mémoire persistante de l'assistant — au prix d'un simple clic sur un lien malveillant. C'est la troisième vulnérabilité critique d'exfiltration de données découverte dans Copilot par Varonis au cours de la seule année 2026, ce qui soulève des questions profondes sur la sécurité intrinsèque des assistants IA dotés d'accès étendus à des services tiers hébergeant des données sensibles.

Ce qui distingue CoSnitch de la plupart des vulnérabilités d'injection de prompt publiées ces dernières années, c'est avant tout sa méthode de découverte, qualifiée de méta-hacking par Varonis. Plutôt que de tenter de rétro-ingénier le code de Copilot ou de fuzzer ses interfaces, les chercheurs ont posé à l'assistant des questions directes sur son propre fonctionnement interne, incitant le modèle de langage à révéler des détails sur son architecture qu'il n'aurait théoriquement pas dû divulguer. C'est ainsi que Copilot a lui-même exposé l'existence d'un paramètre URL non documenté, ?autorun=1, dont l'objet était d'automatiser l'exécution de prompts dans certains contextes applicatifs internes de Microsoft. Ce paramètre, mal sécurisé vis-à-vis des usages externes, pouvait être exploité par n'importe quel attaquant externe disposant de l'URL adéquate.

La chaîne d'exploitation CoSnitch repose sur la combinaison de trois failles distinctes, qui doivent être enchaînées pour produire l'exfiltration complète. La première est l'exécution automatique de prompts fournis par l'attaquant dans la session authentifiée de la victime, rendue possible par le paramètre ?autorun=1 : en construisant une URL Copilot incluant ce paramètre et un prompt malveillant encodé, un attaquant peut forcer l'exécution de n'importe quelle instruction dans la session de la victime dès que celle-ci clique sur le lien. La deuxième faille est l'abus des accès existants de Copilot aux services connectés : une fois le prompt malveillant exécuté dans la session authentifiée, il peut agir avec exactement les mêmes droits que l'utilisateur légitime, accédant à ses emails, ses fichiers, son calendrier et ses préférences mémorisées. La troisième est un vecteur d'empoisonnement persistant de la mémoire à long terme de Copilot via sa fonctionnalité de résumé de pages web, permettant à un attaquant d'injecter durablement des informations dans les préférences et le contexte mémorisé de l'assistant, même après que la session initiale est terminée.

L'étendue des données potentiellement exfiltrables via CoSnitch est considérable pour tout utilisateur ayant connecté plusieurs services à son compte Copilot. La démonstration de Varonis Threat Labs a montré qu'un attaquant pouvait accéder au contenu complet des emails et à leurs métadonnées (expéditeur, destinataires, objet, date), aux événements de calendrier Google et Outlook, aux métadonnées de fichiers stockés dans Google Drive, à l'historique intégral des conversations avec Copilot, et aux préférences personnelles stockées dans la mémoire persistante de l'assistant. L'ensemble de ces données pouvait être exfiltré vers une infrastructure contrôlée par l'attaquant via des appels API semblant parfaitement légitimes aux systèmes de détection traditionnels, puisqu'ils provenaient de l'infrastructure officielle de Microsoft Copilot avec un token d'accès valide appartenant à la victime.

Le scénario d'attaque concret est d'une simplicité redoutable, et c'est précisément ce qui en fait la dangerosité principale. Un attaquant construit un lien vers Microsoft Copilot incluant le paramètre ?autorun=1 accompagné d'un prompt malveillant encodé dans l'URL. Il transmet ce lien à la victime via email, SMS, réseau social ou en l'intégrant dans une page web. La victime clique sur le lien depuis un navigateur où elle est authentifiée dans son compte Microsoft. Copilot exécute automatiquement le prompt sans demander aucune confirmation à l'utilisateur, accède aux données des services connectés avec les droits de la victime et renvoie les informations vers l'attaquant. L'ensemble de l'opération est transparent pour la victime, qui perçoit au mieux une fenêtre Copilot s'ouvrir brièvement avant d'afficher une réponse apparemment anodine ou de se refermer sans message d'erreur.

Varonis a respecté un processus de divulgation responsable coordonné avec Microsoft avant toute publication publique. L'éditeur a confirmé la validité de la chaîne d'exploitation et publié un correctif le 18 août 2026, désactivant le paramètre ?autorun=1 et renforçant les contrôles d'exécution automatique des prompts dans Copilot Personal. Il s'agit de la cinquième mise à jour de sécurité majeure concernant les produits Copilot au cours de l'année 2026, un rythme qui illustre les défis considérables posés par les assistants IA connectés à des services tiers en termes de surface d'attaque et de modèles de menaces. Varonis précise qu'aucune preuve d'exploitation active dans la nature n'a été identifiée avant la publication du correctif, bien que la technique soit suffisamment simple pour avoir pu être redécouverte indépendamment.

Le vecteur d'empoisonnement de la mémoire persistante mérite une attention particulière des équipes de sécurité. La fonctionnalité de mémoire à long terme de Copilot, conçue pour permettre à l'assistant de conserver des informations sur les préférences et le contexte d'un utilisateur entre les sessions, crée un second canal d'attaque de nature qualitativement différente. En incitant Copilot à mémoriser des informations injectées via un résumé de page web malveillant, un attaquant peut influencer les réponses futures de l'assistant à la victime : injection de faux rappels de rendez-vous, de fausses informations de contact, de faux paramètres de compte, ou préparation de campagnes de phishing ultérieures rendues plus crédibles par la personnalisation apportée par les données mémorisées de l'utilisateur ciblé.

Les assistants IA connectés, nouvelle surface d'attaque sous-estimée par les défenses traditionnelles

CoSnitch s'inscrit dans une tendance de fond qui préoccupe de manière croissante la communauté de la sécurité : à mesure que les assistants IA comme Microsoft Copilot, Google Gemini ou les agents basés sur des API de grands modèles de langage acquièrent des accès de plus en plus larges à des services tiers, leur surface d'attaque s'étend de manière exponentielle. Chaque intégration supplémentaire — une boîte mail, un stockage cloud, un calendrier, un outil CRM, un système de ticketing — crée de nouveaux vecteurs d'exfiltration potentiels. Les défenses traditionnelles, conçues pour surveiller les accès directs aux services cibles, sont souvent aveugles aux appels API effectués dans le contexte d'un assistant IA : ces appels semblent légitimes puisqu'ils proviennent d'un token valide appartenant à l'utilisateur, depuis l'infrastructure d'un fournisseur de confiance comme Microsoft.

La technique du méta-hacking utilisée par Varonis pour découvrir CoSnitch est particulièrement préoccupante dans ses implications à long terme. Elle suggère que les modèles de langage peuvent, dans certaines circonstances, révéler des informations sur leur propre infrastructure ou leurs paramètres internes lorsqu'ils sont interrogés de manière stratégique — sans que les concepteurs du système aient nécessairement anticipé ce type d'interrogation. Ce phénomène n'est pas propre à Copilot : des recherches similaires conduites sur d'autres assistants IA en 2025 et 2026 ont démontré que les LLM peuvent inférer et divulguer des détails sur leurs configurations internes lorsqu'ils sont soumis à des prompts bien construits. Pour les équipes de sécurité chargées de déployer des assistants IA en entreprise, la surface d'attaque de ces systèmes dépasse les couches applicatives traditionnelles et intègre les comportements émergents des modèles eux-mêmes comme dimension à part entière.

Pour les entreprises utilisant Copilot for Microsoft 365 ou Copilot Personal avec des intégrations à des services de messagerie et de stockage, CoSnitch soulève une question de gouvernance fondamentale sur les permissions accordées à ces assistants. Les autorisations larges accordées lors de la configuration initiale — lecture des emails, accès au calendrier, lecture des fichiers — deviennent un risque systémique si la plateforme elle-même présente des vulnérabilités. Les équipes IT et sécurité devraient adopter rigoureusement une approche de moindre privilège pour ces intégrations, en limitant les accès aux seuls services et périmètres de données strictement nécessaires, et en révisant régulièrement les permissions accordées via les portails d'administration Microsoft et Google. L'audit régulier des applications tierces autorisées à accéder aux données Microsoft 365 via OAuth est devenu une pratique de sécurité incontournable dans un contexte où les assistants IA prolifèrent.

Du point de vue réglementaire, CoSnitch illustre les nouveaux défis posés par les assistants IA pour la conformité RGPD et l'AI Act européen entré en vigueur. Les données potentiellement exfiltrées — contenus d'emails, informations de calendrier, documents professionnels — incluent fréquemment des données personnelles au sens du règlement européen, déclenchant potentiellement des obligations de notification aux autorités de protection des données en cas d'exploitation avérée avant la correction. La Commission européenne a renforcé en 2026 ses lignes directrices sur l'utilisation des assistants IA en entreprise dans le cadre de l'AI Act, imposant des exigences de sécurité renforcées notamment en matière de robustesse contre les attaques adversariales et d'injection de prompt — des exigences que CoSnitch démontre être pleinement justifiées face aux réalités du terrain.

Ce qu'il faut retenir

• CoSnitch (CVE-2026-24301) chaînait trois failles dans Microsoft Copilot Personal pour exfiltrer Gmail, Drive, Outlook et la mémoire Copilot d'une victime via un simple clic, sans détection par les systèmes de sécurité traditionnels.
• La vulnérabilité a été découverte par méta-hacking : Copilot a lui-même révélé le paramètre ?autorun=1 aux chercheurs de Varonis, illustrant que la surface d'attaque des LLM inclut leurs comportements émergents et pas seulement leur code applicatif.
• Microsoft a publié le correctif le 18 août 2026 ; les organisations doivent auditer et restreindre les permissions accordées à Copilot selon le principe du moindre privilège, et surveiller les journaux d'accès aux services connectés.