Uma vulnerabilidade no Microsoft Copilot mostrou como a conveniência de conectar um assistente de inteligência artificial a diferentes serviços pode criar um novo caminho para roubo de informações. Pesquisadores da Varonis Threat Labs identificaram uma cadeia de ataques no Copilot Personal capaz de transformar um simples link malicioso em um gatilho para ações que o usuário não iniciou conscientemente.
O problema é especialmente relevante porque assistentes de IA estão deixando de ser apenas interfaces de perguntas e respostas. Quando recebem acesso a e-mails, arquivos, calendários, histórico de conversas e outros dados pessoais, passam a funcionar como uma camada intermediária com privilégios consideráveis. No caso analisado pela Varonis, a exploração poderia começar com um único clique, sem que a vítima precisasse digitar um prompt no Copilot.
O que é o CoSnitch e como a falha do Copilot foi descoberta
A pesquisa apresentada pela Varonis descreve uma classe de ataque denominada Reprompt, enquanto o cenário mais recente envolvendo falhas encadeadas no Copilot Personal passou a ser associado ao nome CoSnitch. O ponto central é semelhante: utilizar funcionalidades legítimas da interface de IA para fazer com que comandos controlados pelo atacante sejam processados dentro da sessão autenticada do usuário.
Uma das descobertas mais importantes foi o abuso do parâmetro q= na URL. Esse parâmetro pode preencher uma consulta diretamente no Copilot. Em condições normais, trata-se de uma funcionalidade de conveniência. O problema aparece quando conteúdo externo e não confiável é tratado como uma instrução que a inteligência artificial deve executar.
A Varonis demonstrou que um atacante poderia construir um link contendo instruções no parâmetro da URL. Ao abrir esse endereço enquanto autenticado, o usuário poderia fazer com que o Copilot processasse um prompt que nunca escreveu. A sessão já existente seria aproveitada para dar continuidade à operação.
O aspecto mais preocupante é que o ataque não depende necessariamente da instalação de extensões, plugins ou malware tradicional. A própria funcionalidade de processamento de prompts via URL se transforma no ponto de entrada.
A combinação perigosa dos parâmetros de URL
A mecânica fica ainda mais perigosa quando parâmetros de URL e técnicas de engenharia de prompt são combinados para manipular o comportamento do modelo.
O conceito pode ser entendido como uma espécie de meta-hacking: em vez de atacar diretamente um sistema tradicional, o invasor tenta descobrir como fazer a própria IA interpretar determinadas entradas de maneira favorável ao ataque.
Na pesquisa da Varonis, o parâmetro q= foi utilizado para injetar instruções. O estudo também demonstrou que determinadas proteções eram aplicadas principalmente à solicitação inicial. Com técnicas de double-request e chain-request, instruções posteriores poderiam continuar a operação e escapar das mesmas barreiras aplicadas ao primeiro pedido.
Esse detalhe muda completamente a percepção de risco. O usuário pode fechar a aba do Copilot acreditando que encerrou a atividade, enquanto a sessão ainda permanece válida para determinadas operações. A Varonis afirma que, no cenário pesquisado, a exfiltração poderia continuar depois que a aba fosse fechada.
Os três pilares do ataque e o risco de vazamento no Copilot
A cadeia de exploração pode ser entendida em três etapas: execução automática, exfiltração de informações por meio das capacidades disponíveis ao assistente e continuidade da operação através de requisições encadeadas.
A primeira etapa transforma um link em um gatilho. A segunda utiliza o contexto e os dados disponíveis para obter informações. A terceira permite que o servidor controlado pelo atacante envie novas instruções com base nas respostas anteriores.
Esse modelo é particularmente perigoso porque o invasor não precisa necessariamente colocar todo o comando malicioso no primeiro link. Parte da lógica pode ser enviada posteriormente pelo servidor, tornando o ataque mais difícil de analisar apenas olhando para a URL inicial.
Em outras palavras, a IA passa a funcionar como intermediária entre os dados privados do usuário e a infraestrutura do atacante.
Quais dados do usuário podiam ser roubados?
O alcance depende dos recursos disponíveis ao assistente e das informações acessíveis pela conta comprometida. Na demonstração da Varonis, o Copilot foi induzido a trabalhar com informações como nome de usuário, localização, horário, conteúdo de conversas e informações presentes no contexto pessoal do usuário.
Em ambientes nos quais o assistente possui acesso a serviços conectados, o risco pode se ampliar para e-mails, anexos, documentos, arquivos armazenados em nuvem, compromissos e outros dados pessoais. É justamente essa combinação entre IA e múltiplas fontes de informação que torna ataques de injeção indireta de prompt particularmente preocupantes.
O problema não está necessariamente em uma falha de autenticação tradicional. O atacante pode explorar a confiança já existente entre o usuário e o assistente. Se a IA consegue acessar determinada informação legitimamente, uma instrução maliciosa pode tentar convencê-la a utilizar essa capacidade de maneira indevida.
O perigo da memória e das instruções persistentes
Outro aspecto importante é a possibilidade de utilizar o próprio contexto acumulado pelo assistente para ampliar o ataque.
A pesquisa da Varonis demonstrou que o modelo poderia manter uma sequência de instruções e utilizar respostas anteriores para determinar qual seria a próxima ação. No método de chain-request, por exemplo, o servidor externo pode devolver uma nova etapa depois de receber a resposta anterior.
Isso cria um comportamento semelhante a uma cadeia de comando remota, mas utilizando a capacidade de interpretação da IA.
É importante, porém, diferenciar exfiltração de memória de um comprometimento permanente da conta. A pesquisa publicada pela Varonis demonstra o acesso e a extração de informações presentes no contexto do Copilot, mas não significa que uma simples exploração transforme automaticamente toda a conta em uma persistência equivalente a malware tradicional.
Essa distinção é fundamental para compreender o risco sem exagerá-lo. O problema está justamente no fato de que uma ferramenta considerada confiável pode ser manipulada para revelar informações sem que o usuário perceba claramente o que está acontecendo.
O que a Microsoft fez e o que muda no cenário de segurança
A Microsoft informou à Varonis que o problema havia sido corrigido, eliminando o caminho de exploração identificado no Copilot Personal. A pesquisa publicada em junho de 2026 também ressalta que clientes corporativos utilizando Microsoft 365 Copilot não eram afetados pela vulnerabilidade Reprompt descrita naquele relatório.
Esse ponto merece atenção porque Copilot Personal e Microsoft 365 Copilot não devem ser tratados como produtos tecnicamente idênticos. Eles possuem arquiteturas, fontes de dados e controles diferentes.
A descoberta também reforça uma tendência mais ampla. A Varonis posteriormente apresentou o SearchLeak, outra cadeia de vulnerabilidades envolvendo o Copilot Enterprise, demonstrando que parâmetros de URL, injeção de prompt e capacidades de acesso a dados podem formar combinações perigosas em diferentes ambientes.
Assim, corrigir uma vulnerabilidade específica não elimina o problema estrutural: assistentes de IA com acesso a dados privados precisam tratar entradas externas como potencialmente hostis.
Um ponto adicional de atenção editorial é a identificação da CVE associada. A pesquisa pública da Varonis sobre Reprompt atualmente identifica a correção como CVE-2026-42824, e não CVE-2026-24301. Por isso, a numeração deve ser verificada antes da publicação definitiva para evitar atribuir ao Copilot uma CVE incorreta.
Como proteger seus dados contra falhas de segurança no Copilot
O primeiro passo é adotar uma postura diferente diante de links que abrem ferramentas de IA. Um endereço aparentemente legítimo pode carregar parâmetros capazes de preencher automaticamente um prompt. Por isso, links que direcionam diretamente para assistentes de IA merecem o mesmo cuidado aplicado a links de phishing.
A própria Varonis recomenda que usuários do Copilot Personal tenham atenção especial a links externos, comportamentos inesperados e prompts preenchidos automaticamente. A recomendação é verificar o conteúdo antes de executar qualquer instrução que apareça de forma automática.
Também é importante revisar periodicamente quais aplicativos, serviços e contas de terceiros estão conectados aos assistentes de IA. Quanto maior o número de fontes acessíveis, maior tende a ser o impacto potencial de uma exploração.
Para organizações, a estratégia deve incluir princípio do menor privilégio, monitoramento de atividades anômalas, classificação de dados sensíveis e controles específicos para ferramentas de IA. A Varonis destaca que assistentes devem ser tratados como sistemas capazes de operar com contexto privilegiado, exigindo auditoria e detecção de comportamento suspeito.
Para usuários domésticos, a regra é mais simples: não confie automaticamente em links só porque eles apontam para um serviço conhecido. Leia prompts pré-preenchidos, desconfie de comportamentos inesperados e evite conceder a assistentes de IA acesso indiscriminado a informações que não precisam estar disponíveis.
O caso CoSnitch representa, portanto, um alerta sobre uma mudança importante no modelo de segurança. Ataques contra inteligência artificial não precisam necessariamente quebrar uma senha, explorar um sistema operacional ou instalar malware. Em determinados cenários, basta convencer a própria IA a utilizar seus privilégios contra o usuário.
Essa é uma das principais lições deixadas pela pesquisa: quanto mais inteligente e conectado fica um assistente virtual, maior também precisa ser o cuidado com controle de acesso, validação de entradas, privacidade e segurança por design. O próximo grande desafio da segurança em IA não será apenas impedir que modelos produzam respostas perigosas, mas garantir que eles nunca transformem a confiança depositada pelo usuário em uma porta de saída para seus próprios dados.
