Pesquisadores de cibersegurança identificaram uma falha grave no Copilot que permitia roubar dados confidenciais e até mesmo modificar a memória do assistente usando apenas um link malicioso. Esta vulnerabilidade foi nomeada CoSnitch.
A Varonis Threat Labs identificou o problema e o reportou à Microsoft em dezembro de 2025. Para descobrir essa falha, os especialistas aplicaram métodos de engenharia social ao mecanismo de raciocínio da inteligência artificial. Este processo, chamado de 'hacking meta', forçou o próprio sistema a revelar comandos internos que deveriam ter sido desativados.
Não foram encontrados indícios de que esta brecha tenha sido explorada por criminosos. A correção oficial foi lançada para a versão web do Copilot nesta terça-feira (dia 18).
Os analistas perguntaram ao assistente sobre a possibilidade de executar um comando sem pressionar a tecla Enter. Inicialmente, o Copilot respondeu que tal ação era impossível. No entanto, em vez de encerrar os testes, eles insistiram no diálogo, reformulando cada justificativa do chatbot em uma nova pergunta sobre as regras de segurança.
Durante a troca de mensagens, a ferramenta descreveu uma função não documentada publicamente — o comando 'autorun=1'. Embora ele afirmasse categoricamente que a função não funcionava, o Copilot mostrou as condições necessárias para aceitar essa instrução. No final, os especialistas provaram que a ação continuava sendo executada silenciosamente em segundo plano, o que indicava claramente que o sistema estava comprometido para cooperação.
A exploração do problema exigia apenas a abertura de um link malicioso. Como a maioria dos usuários mantém o navegador conectado ao Copilot, a interface carregava a página e executava instantaneamente instruções indesejadas, sem exibir avisos ou solicitar confirmação.
O assistente começou a operar sem ruído, utilizando permissões já ativas, incluindo acesso a outros serviços como Gmail e Google Drive. De acordo com os pesquisadores, era possível visualizar e extrair senhas em texto simples salvas em mensagens, ler registros de calendário e encontrar documentos.
A vulnerabilidade também permitia a execução de uma técnica conhecida como injeção indireta, capaz de infectar a memória persistente do Copilot. Para isso, bastava pedir ao assistente para resumir uma página da web com instruções ocultas no código HTML, fazendo com que o assistente interpretasse o texto 'oculto' como um comando do sistema.
Nesse cenário, a IA fornecia o resumo solicitado à vítima normalmente, mas operava em segundo plano, gravando novas instruções comportamentais em seu armazenamento de longo prazo. Essa modificação continuava a moldar as respostas da IA indefinidamente, até que um usuário removesse manualmente a regra nas configurações de memória específicas.