Microsoft Copilot の脆弱性 CVE-2026-24301：ワンクリックで機密情報を窃取する CoSnitch とは？

Critical Microsoft Copilot CoSnitch Flaw Lets Hackers Steal Sensitive Data With One Click

2026/08/19 gbhackers — Microsoft Copilot Personal に存在する、ワンクリックで悪用可能な深刻な脆弱性 CVE-2026-24301 には、CoSnitch という名称が付けられている。この欠陥を悪用する攻撃者は、悪意のある Copilot プロンプトを実行させ、接続済み OAuth アプリケーションからデータにアクセスしたうえで、取得した情報を攻撃者が制御するサーバへ密かに送信できる状態にあった。この問題は、2025年12月の時点で Varonis が責任ある情報開示を行っていたが、Microsoft により修正されたのは 2026年8月18日だった。Varonis によると、現時点において実際の環境での悪用を示す証拠は確認されていない。

Microsoft Copilot の CoSnitch 脆弱性

CoSnitch が浮き彫りにしたのは、ユーザーの電子メール／クラウド・ファイル／カレンダー／チャット履歴／永続メモリへ広範にアクセスできる AI アシスタントが持つリスクである。Gmail や Google Drive などのソフトウェアの脆弱性を直接悪用するのではなく、Copilot の機能を悪用して認証済みユーザーの権限で正規のアクションを実行する点が、この攻撃の特徴である。具体的には、フィッシング・メール／チャット・メッセージ／悪意のある Web ページ／QR コードなどを介して配信された、特別に細工された Copilot リンクを被害者が開くことで攻撃が開始される。

研究者が発見したのは、文書化されていない URL パラメータにより、Copilot ページの読み込み時に指定されたプロンプトが実行され、ユーザー自身によるリクエストの送信を省略できる可能性である。Varonis の一次情報では、この仕組みに “autorun=1” パラメータが関係していたことも説明されている。

このプロンプトが有効化されると、被害者の認証済み Copilot セッションとコネクターに付与された権限が引き継がれ、Copilot は接続済みサービスの検索や関連コンテンツの取得を実行したうえで、組み込みの Web 取得機能や URL 要約機能を介して外部エンドポイントへと結果が送信される。

Varonis の調査で実証されたのは、接続済み Gmail／Outlook アカウント／Google Calendar／Google Drive／Copilot のチャット履歴／アシスタントの永続メモリに含まれるデータへのアクセスが可能なことである。流出する可能性がある情報には、電子メール・コンテンツ／送受信者の詳細／会議情報／ファイル・メタデータ／保存済みユーザー設定／過去のチャット・データが含まれる。

データ流出では、外部 URL を取得して要約する Copilot の通常機能が悪用される。悪意のあるプロンプトによってモデルのアクティブ・コンテキストへデータが収集され、URL に埋め込んで転送できる形式にエンコードされた後、攻撃者が管理する URL へ Copilot からリクエストが送信される。

ネットワーク監視の観点では、この外向きのリクエストは、通常の Web 要約時に Copilot が実行する標準的な HTTPS 取得と同じように見える可能性があるため、不審なプロセス／通常とは異なるポート／異常なネットワーク接続先の特定を重視する従来のセキュリティ制御では可視性が低下する。

その理由として挙げられるのは、すでに被害者が接続済みアプリケーションへのアクセスを Copilot に許可しており、未認可の OAuth アクセスが発生していない点である。CoSnitch は、意図的なユーザー・リクエストへの応答としてのみ、コネクターのアクションが実行されるという前提を崩している。

Web 要約を介した間接プロンプト・インジェクションも、この攻撃チェーンを成立させる重要な要素である。無害な Web ページをホストする攻撃者は、HTML コメント／メタデータ／視覚的に隠された要素の中に命令を埋め込むことができる。そのページの要約を被害者が Copilot に依頼すると、Web 要約サービスはコンテンツ全体を取得して可視テキストと攻撃者が制御する隠し命令の双方を処理するため、Copilot がユーザーの永続メモリに悪意のある命令を書き込まれる可能性がある。

このように注入された命令は、手動で削除されない限り、将来のセッションでも有効な状態を維持する可能性があるため、長期的かつ深刻なメモリ汚染のリスクがもたらされる。汚染されたメモリ・エントリによって、Copilot のレスポンスの変更／警告の抑制／要約内容の歪曲などが引き起こされ、攻撃者が定義した条件に基づいてアクションが実行される可能性がある。

従来型のエンドポイント・マルウェアとは異なり、この永続化の仕組みは AI アシスタントのユーザー・コンテキスト内に存在するため、パスワードのリセット／セッションの失効／デバイスの再登録などを実施しても、汚染されたメモリ・レコードが削除されない可能性がある。

Varonis は、この発見プロセスを “メタ・ハッキング” と表現している。研究者は最初に、自動実行が不可能である理由を説明するよう Copilot にプロンプトを送信し、その説明から攻撃対象領域を絞り込むための手掛かりを得た。研究者によると、Copilot は自身の制約を説明する過程で、URL の挙動や過去に導入された保護策に関する実装上の詳細を開示していた。

2026年に入って Varonis は、Microsoft Copilot の欠陥である Reprompt／SearchLeak を報告しており、今回の CoSnitch は 3件目の欠陥報告となる。これらの調査結果が示しているのは、AI プラットフォームによって、価値の高いエンタープライズ・データへのアクセスが一つの会話型インターフェイスへ集約される可能性であり、AI アシスタントの機能や接続先が増えるほど、その単一のインターフェイスが攻撃対象となるリスクも高まることである。

組織に求められるのは、Microsoft のセキュリティ・アップデートの適用／Copilot コネクター権限の確認／不要なサードパーティ統合の制限／AI 関連の外向きリクエストの監視である。また、命令が事前に入力された状態で AI アシスタントを開くリンクのリスクについて、従業員を教育する必要がある。

紹介する記事では、Microsoft Copilot Personal における深刻な脆弱性 CVE-2026-24301 (CoSnitch) が解説されています。信頼された連携アプリケーションの権限を悪用され、ワンクリックで機密データが外部へ送信される懸念が存在しました。この問題により、メールやクラウドファイルなどの機密情報漏洩／間接プロンプトインジェクションによるメモリ汚染／永続的な悪意ある命令の維持といった影響が及ぶ危険性がありました。修正プログラムの適用／不要なコネクター連携の解除／不審なリンクの開封防止といった迅速なセキュリティ対策が求められます。