Resumo
- A falha CoSnitch no Copilot da Microsoft permitia roubo silencioso de dados de contas conectadas com apenas um clique, segundo pesquisadores do Varonis Threat Labs.
- A brecha foi descoberta após analistas aplicarem técnicas de engenharia social no mecanismo de raciocínio da IA, fazendo com que o próprio sistema revelasse comandos internos que deveriam estar desativados.
- A correção oficial foi disponibilizada na versão web do Copilot.
Pesquisadores de cibersegurança descobriram uma falha crítica no Copilot que permitia roubar dados confidenciais e até manipular a memória do assistente a partir de um único link malicioso. A falha, batizada de CoSnitch, foi identificada pelo Varonis Threat Labs, que comunicou o problema à Microsoft em dezembro de 2025.
Para identificar o problema, os especialistas aplicaram técnicas de engenharia social no mecanismo de raciocínio da IA. Esse processo, chamado de “meta-hacking”, fez com que o próprio sistema revelasse comandos internos que deveriam estar desativados.
Não foram encontradas evidências de que a brecha tenha sido explorada por criminosos. Uma correção oficial foi disponibilizada na versão web do Copilot nesta terça-feira (18).
Como o Copilot foi manipulado?
Os analistas questionaram o assistente se seria possível rodar um comando sem apertar a tecla Enter. O Copilot respondeu inicialmente que essa ação era impossível. Em vez de encerrarem o teste, eles insistiram na conversa, reformulando cada justificativa do chatbot como uma nova pergunta sobre regras de segurança.
Durante a troca de mensagens, a ferramenta acabou descrevendo um recurso não documentado publicamente: o comando “autorun=1”. Embora afirmasse categoricamente que a função não funcionava, o Copilot mostrou as condições necessárias para aceitar a instrução. No fim, os especialistas comprovaram que a ação continuava rodando silenciosamente em segundo plano, deixando claro que o sistema havia sido manipulado para cooperar.
Falha permitia acessar contas conectadas
A exploração do problema dependia apenas de abrir um link malicioso. Como a maioria dos usuários já mantém o navegador conectado ao Copilot, a interface carregava a página e executava instruções indesejadas instantaneamente, sem exibir alertas ou pedir confirmações.
O assistente passava a operar sem alarde com as permissões já ativas, incluindo acesso a outros serviços, como Gmail e Google Drive. Segundo os pesquisadores, foi possível consultar e extrair senhas em texto simples guardadas em mensagens, ler compromissos da agenda e localizar documentos.
Um site malicioso podia reescrever a memória da IA
A brecha também permitia executar uma técnica conhecida como injeção indireta, capaz de contaminar a memória persistente do Copilot. Para isso, bastaria pedir para resumir uma página da web com instruções ocultas em código HTML para o assistente interpretar o texto “escondido” como uma ordem de sistema.
Nesse cenário, a IA entregava o resumo solicitado normalmente para a vítima, mas operava nos bastidores, gravando novas instruções de comportamento em seu armazenamento de longo prazo. Essa modificação continuaria moldando as respostas da IA indefinidamente, até que a pessoa entrasse nas configurações específicas de memória para apagar a regra manualmente.
Copilot “ensinou” pesquisadores a hackear o próprio sistema
