شناسایی پارامتر اجرای خودکار در مایکروسافت کوپایلت با متا هکینگ
پژوهشگران Varonis اعلام کرده‌اند که تاکنون هیچ شواهدی از اکسپلویت فعال CoSnitch در حملات واقعی مشاهده نشده است. آن‌ها برای یافتن راهی جهت اجرای پرامپت بدون تعامل کاربر، چندین بار از کوپایلت درباره علت فعال نشدن این قابلیت سؤال کردند. Varonis این روش را متا هکینگ (Meta-Hacking) نامیده است. کوپایلت در پاسخ به هر پرسش، توضیحی فنی درباره علت جلوگیری از اجرای خودکار پرامپت ارائه می‌کرد و در نهایت، پارامتر autorun=1 را همراه با شرایط نشست موردنیاز برای فعال شدن آن و سازوکارهای حفاظتی که قرار بود مانع اجرای آن شوند، در اختیار پژوهشگران قرار داد.
سپس URL را دقیقاً بر اساس توضیحاتی که کوپایلت ارائه کرده بود، ایجاد و آزمایش کردند. آزمایش‌ها نشان داد پارامتری که کوپایلت آن را غیرفعال و غیرقابل استفاده معرفی کرده بود، همچنان اجرا می‌شود. Varonis در گزارش خود تأکید کرده است که کوپایلت هک نشده بود، بلکه خود دستیار با افشای اطلاعات فنی لازم، ناخواسته مسیر سوءاستفاده از این سازوکار را در اختیار پژوهشگران قرار داده بود.
URL مورد استفاده در حمله، دو پارامتر autorun=1 و q را در کنار یکدیگر قرار می‌دهد. طبق گزارش CoSnitch، پارامتر q فقط متن موردنظر را از قبل در کادر ورودی قرار می‌دهد و به‌تنهایی نمی‌تواند باعث اجرای پرامپت شود. برای اینکه پرامپت بدون نیاز به تعامل کاربر اجرا شود، وجود هر دو پارامتر ضروری است.
Varonisدر پژوهش قبلی خود با عنوان Reprompt نیز از پارامتر q به‌عنوان نقطه ورود پارامتر به پرامپت در سناریویی استفاده کرده بود که مهاجم می‌توانست آن را تنها با یک کلیک کاربر اجرا کند. همچنین این شرکت اعلام کرده است که پس از آغاز اجرای CoSnitch، پرامپت بدون توقف تا پایان اجرا پیش می‌رود و بستن تب مایکروسافت کوپایلت بلافاصله پس از بارگذاری صفحه نیز نمی‌تواند مانع تکمیل فرآیند شود.
CoSnitch سه مسیر اصلی برای اجرای حمله ایجاد می‌کند
Varonis یافته‌های خود را در قالب سه آسیب‌پذیری مرتبط با CoSnitch دسته‌بندی کرده است. دو مورد نخست، مسیر اصلی استخراج داده با یک کلیک را تشکیل می‌دهند، در حالی که آسیب‌پذیری سوم از طریق قابلیت خلاصه‌سازی صفحات وب، مسیر جداگانه‌ای را برای آلوده‌سازی حافظه ایجاد می‌کند.
- اجرای خودکار پرامپت: ترکیب این دو پارامتر باعث می‌شود پرامپت تحت کنترل مهاجم هم‌زمان با بارگذاری صفحه، در نشست احراز هویت‌شده قربانی اجرا شود و همان سطح دسترسی و قابلیت‌های دستوری را داشته باشد که کاربر با وارد کردن مستقیم پرامپت در اختیار کوپایلت قرار می‌دهد. در نتیجه، پرامپت مهاجم بدون نیاز به ورود مستقیم دستور از سوی قربانی اجرا می‌شود.
- استخراج داده از سرویس‌های متصل: پرامپت تزریق‌شده می‌تواند از سرویس‌هایی که کاربر پیش‌تر به کوپایلت متصل کرده و مجوز دسترسی به آن‌ها داده است، اطلاعات موردنظر را دریافت کند. سپس داده‌های به‌دست‌آمده کدگذاری می‌شوند و کوپایلت با استفاده از قابلیت داخلی دریافت اطلاعات از URL، آن‌ها را به یک وب‌هوک (Webhook) تحت کنترل مهاجم ارسال می‌کند. این روش مجوز جدیدی برای دسترسی کوپایلت به سرویس‌ها ایجاد نمی‌کند و سطح دسترسی فعلی کاربر را نیز افزایش نمی‌دهد.
- باقی‌ماندن دستورهای مهاجم در حافظه: در مسیر دیگری از حمله، یک صفحه وب دست‌کاری‌شده می‌تواند هنگام خلاصه‌سازی توسط کوپایلت، باعث شود دستیار دستورهای تحت کنترل مهاجم را در حافظه کاربر ذخیره کند. این دستورها پس از ثبت می‌توانند در نشست‌های بعدی باقی بمانند و بر نحوه پاسخ‌گویی و عملکرد دستیار در مکالمات آینده تأثیر بگذارند.
چه داده‌هایی در آزمایش‌ها استخراج شدند؟
پژوهشگران در آزمایش‌های خود دریافتند که مایکروسافت کوپایلت می‌تواند اطلاعات متنوعی را از سرویس‌های متصل بازیابی کند. این اطلاعات شامل متن پیام‌ها، موضوع ایمیل‌ها و متادیتای مربوط به فرستنده و گیرنده در حساب‌های ایمیل متصل بود. همچنین پژوهشگران عنوان رویدادهای تقویم، نام شرکت‌کنندگان، زمان و مکان رویدادها، نام فایل‌ها و خلاصه‌ای از متادیتای گوگل درایو (Google Drive) را بازیابی کردند. علاوه بر این، محتوای کامل مکالمات قبلی در تاریخچه چت و دستورهای ذخیره‌شده و قوانین تعریف‌شده توسط کاربر در حافظه نیز در دسترس قرار گرفتند.
دسترسی به سرویس‌های متصل و پنهان‌سازی داده‌های استخراج‌شده
مایکروسافت در مستندات خود توضیح داده است که کوپایلت تنها پس از اعطای مجوز از سوی کاربر می‌تواند به سرویس‌های متصل دسترسی داشته باشد. این سرویس‌ها نیز درخواست‌ها را بر اساس مجوزهای فعلی کاربر پردازش می‌کنند. به گفته مایکروسافت، کوپایلت نمی‌تواند دامنه این دسترسی‌ها را گسترش دهد و فقط می‌تواند به محتوایی دسترسی داشته باشد که کاربر پیش‌تر مجوز مشاهده آن را داشته است. در سناریوی CoSnitch نیز مهاجم از همین دسترسی‌های موجود سوءاستفاده می‌کند و مجوز جدیدی برای کوپایلت ایجاد نمی‌شود.
به گفته Varonis، درخواست ارسال‌شده برای استخراج داده در لایه شبکه با درخواست‌هایی که کوپایلت هنگام خلاصه‌سازی یک صفحه وب معمولی ارسال می‌کند، تفاوت قابل تشخیصی ندارد. به گفته این شرکت، کدگذاری داده‌های استخراج‌شده با Base64 می‌تواند شناسایی آن‌ها را برای فیلترهای امنیتیِ بررسی‌کننده درخواست‌های خروجی و الگوهای حساس، مانند اعتبارنامه‌ها دشوار کند.
باقی ماندن دستورهای تزریق‌شده در حافظه کوپایلت
به گفته Varonis، دستور تزریق‌شده می‌تواند در حافظه کوپایلت باقی بماند و حتی تغییر رمز عبور، لغو نشست یا ثبت مجدد دستگاه نیز آن را از حافظه حذف نمی‌کند. این دستور در مکالمات بعدی نیز فعال می‌ماند و تا زمانی که کاربر آن را از تنظیمات حافظه کوپایلت حذف نکند، ادامه خواهد داشت. CoSnitch از این طریق می‌تواند اثر دستور مهاجم را به نشست‌های بعدی نیز منتقل کند.
همچنین Varonis اعلام کرده است که ثبت دستور در حافظه، هیچ پردازه، فایل، اتصال شبکه یا رکورد لاگ قابل تشخیصی ایجاد نمی‌کند که ابزارهای امنیتی بتوانند آن را شناسایی کنند. با این حال، تغییر ایجادشده در بخش حافظه کوپایلت قابل مشاهده است.
سابقه گزارش آسیب‌پذیری‌های مرتبط با حافظه کوپایلت
این نخستین بار نیست که مسئله‌ای مرتبط با حافظه کوپایلت از طریق قابلیت خلاصه‌سازی صفحات وب به مایکروسافت گزارش می‌شود. پژوهشگران پیش‌تر نیز صفحه‌ای تحت کنترل مهاجم را مستند کرده بودند که هنگام استفاده قربانی از قابلیت خلاصه‌سازی صفحات وب در مایکروسافت 365 کوپایلت، باعث می‌شد یک حافظه ناخواسته در حساب کاربر ثبت شود و در مکالمات بعدی باقی بماند. این پژوهش پس از یک دوره 90 روزه، در 22 ژوئن 2026 منتشر شد و مایکروسافت اعلام کرد که این ضعف در تمام محیط‌های تحت پوشش برطرف شده است.
همچنین پژوهشگران در پژوهشی مرتبط با CVE-2026-24299، امکان ثبت و حذف حافظه از طریق تزریق غیرمستقیم پرامپت (Indirect Prompt Injection) در مایکروسافت 365 کوپایلت و همچنین تغییر محتوای حافظه در نسخه شخصی کوپایلت را گزارش کرده بودند.
مایکروسافت نیز در یک یادداشت امنیتی در 22 ژوئن، دیدگاه خود را درباره این دسته از حملات تشریح کرد. این توضیحات مشخصاً به مایکروسافت 365 کوپایلت مربوط می‌شد و شامل نسخه شخصی کوپایلت نبود.
مایکروسافت اعلام کرده است که حافظه‌ها پیش از ثبت، از نظر پاک‌سازی (Sanitization) و وجود نشانه‌های تزریق پرامپت (Prompt Injection) بررسی می‌شوند. همچنین مایکروسافت 365 کوپایلت هنگام ثبت مستقیم هر حافظه، بررسی پایبندی به وظیفه را انجام می‌دهد.
طبق توضیحات مایکروسافت، تغییرات حافظه در لاگ‌های ممیزی (Audit Logs) سازمانی نیز ثبت می‌شوند و تحلیلگران می‌توانند این تغییرات را از طریق فیلد MemoryUpdated در Defender Advanced Hunting و Sentinel مشاهده کنند.
توصیه‌های امنیتی برای کاهش ریسک مجموعه آسیب‌پذیری‌های CoSnitch
Varonis برای ریسک سوءاستفاده از CoSnitch توصیه کرده است کاربران اپلیکیشن‌های متصل به کوپایلت را بازبینی کرده و دسترسی کوپایلت به سرویس‌های غیرضروری را محدود کنند. همچنین این شرکت تاکید کرده است که دستیار هوش مصنوعی در فرآیند بررسی دسترسی‌ها و شناسایی فعالیت‌های غیرعادی، مانند یک کاربر داخلی با سطح دسترسی بالا در نظر گرفته شود. کاربران نیز باید هنگام باز کردن لینک‌هایی که دستیارهای هوش مصنوعی را اجرا می‌کنند، با احتیاط بیشتری عمل کنند.
برای رفع این ضعف، کاربران نیازی به نصب به‌روزرسانی خاصی برای کلاینت ندارند. Varonisاعلام کرده است که حافظه‌های تزریق‌شده تا زمان حذف دستی، همچنان در حساب کاربر باقی می‌مانند. با این حال، در گزارش این شرکت مشخص نشده است که آیا اصلاحات مایکروسافت، حافظه‌هایی را که پیش از رفع این ضعف ایجاد شده‌اند نیز به‌صورت خودکار حذف می‌کند یا خیر.
این گزارش کمتر از دو هفته پس از آن منتشر شد که همین تیم جزئیات حمله RovoBlast را ارائه کرد. RovoBlast به دستیار Rovo شرکت Atlassian مربوط می‌شد و در این حمله، مهاجم با سوءاستفاده از پارامتر rovoChatPrompt در URL، دستورهای تحت کنترل خود را به نشست فعال کاربر تزریق می‌کرد. Varonis اعلام کرده است که Atlassian پیش از انتشار عمومی این گزارش، این ضعف امنیتی را پچ کرده بود.
