MicrosoftCopilot Personalの「CoSnitch」脆弱性が発覚——ワンクリックでデータ流出、すでに修正済み

セキュリティ研究機関Varonis Threat Labsは、Microsoft Copilot PersonalにCVE-2026-24301の脆弱性（コードネーム：CoSnitch）が存在することを発見した。攻撃者は悪意あるリンクを介してワンクリックするだけで、Copilotに被害者のGmail、Google Drive、Calendar、OneDriveのデータを照会・外部送信させることが可能であり、Microsoftは2026年8月18日に修正パッチの適用を完了した。

経緯の詳細

Varonisは2025年12月にMicrosoftへ本脆弱性を報告し、2026年8月18日にMicrosoftが最終パッチを公開した。CoSnitch は、Varonisが今年発見したCopilot関連の脆弱性としては3件目にあたる。過去には、「Reprompt」が繰り返しの問い合わせで防護を回避し、「SearchLeak」がMicrosoft 365 Copilot Enterpriseを静かなデータ流出ツールへと変えた事例が確認されている。3件いずれも同一のパターン——通常のリンクに見せかけたURLをユーザーが一度クリックするだけで発動する——に依存している。

研究者はメタハッキング手法を用い、まずCopilotにプロンプトの自動実行方法を質問した。システムはユーザーの意図が必要と回答したが、研究者がURLの構造やページ読み込みの詳細について問い続けたところ、最終的にAI自身が内部パラメータと弱点を露呈した。

攻撃メカニズムの解析

CoSnitch は3つの脆弱性を連鎖的に悪用する。まず、プロンプトの自動実行は?q=URLパラメータと非公開パラメータの組み合わせによって実現され、ページ読み込み時に攻撃者が用意したプロンプトが追加のクリックや確認なしに即時実行される。次に、データ流出はCopilotに内蔵されたURL取得機能を悪用し、照会結果をエンコードして攻撃者が管理するWebhookへ送信する。さらに、永続メモリへの汚染は細工されたウェブページの要約を通じて行われ、指示が被害者の永続メモリストアに注入される。この注入はパスワード変更、セッション失効、デバイスの再登録後も持続する。

これらの手順はいずれも、ユーザーがすでにログイン済みのブラウザセッション内で完結し、Copilotはユーザーが許可した権限に基づいて接続アプリにアクセスするため、セキュリティアラートは一切発生しなかった。

業界への影響

企業ユーザーにとっては、AIアシスタントがメール・カレンダー・ファイルストレージと深く統合された結果、単一の入口が潜在的なデータ流出経路となり得る。ユーザーはCopilotのコネクタ設定を確認し、不要なサービスとの接続を切断することで露出面を縮小する必要がある。

開発者にとっては、プロンプトインジェクション対策を単一検証から多層検証へ移行させる必要があり、URLパラメータの出所確認やメモリ書き込みの分離が求められる。現行のAIワークフロー設計では、ユーザー意図の確認機構だけでは自動実行パスを阻止するには不十分である。

競合環境の観点からは、今回の事案により、コンシューマー向けCopilot PersonalとエンタープライズグレードのCopilotのいずれにも同様のリスクが存在することが示された。Microsoftは今回の具体的な攻撃チェーンを修正したが、同様の統合モデルを採用する他のAI製品も同等の検証圧力にさらされることになる。

戦略的評価

現時点での開示内容を踏まえると、セキュリティ研究機関は他のAIアシスタントの自動実行機能とメモリ永続化機能のテストを継続し、パッチがすべてのパラメータの組み合わせを網羅しているかを検証するとみられる。注目すべき指標は、VaronisまたはほかのセキュリティWMGが新たな脆弱性レポートを公開するか否か、およびMicrosoftがコネクタの権限に関するドキュメントを更新するかどうかである。

ユーザーはMicrosoftサポートドキュメントのコネクタスコープに関する説明を参照し、認可済みアプリを定期的に見直すことが推奨される。AIアシスタントを起動して質問をあらかじめ入力した状態で開くリンクは、潜在的なリスク源として扱うべきである。