微软 Copilot 高危漏洞 CoSnitch：一次点击即可窃取关联账户数据
emmanuelvivier · x · 2026-08-20
微软已修补 Copilot Personal 的关键漏洞 CVE-2026-24301（ nicknamed CoSnitch），攻击者只需诱导受害者点击一个恶意链接，即可静默外泄其关联账户（如 Gmail 等）中的敏感数据。
该漏洞由 Varonis Threat Labs 发现，本质是三个弱点串联：一个未公开的 URL 参数配合 Copilot 的 ?q= 查询参数，可在页面加载时自动执行攻击者构造的 prompt，无需任何点击或确认；随后 Copilot 可查询受害者的关联应用并外泄数据。
这是 Varonis 今年发现的第三个 Copilot 漏洞：Reprompt 通过重复提问绕过安全护栏，SearchLeak 将 Microsoft 365 Copilot Enterprise 变成隐蔽外泄通道。三者共同点都是单次点击即可触发、无明显告警。
所属事件:微软 Copilot 高危漏洞已修补，点击链接即可窃取数据(3 条相关)→
「安全」频道最新
- 首次在野外发现恶意 AI agent 集群，竟来自腾讯评测团队 — chrisrohlf · 2026-10-16
- 密歇根学者：AI 向善项目为何失败，监管不能靠厂商自律 — benzevgreen · 2026-10-16
- Apex Research 负责人上 CBS：现行 AI 测试机制严重不足，需嵌入式独立评估 — MariusHobbhahn · 2026-10-16
- Next.js 爆严重 RCE 漏洞，use cache 返回类型数组即中招 — jedisct1 · 2026-10-16
- AI 客服机器人已消耗骗子 17 年时间，对话 250 万次 — neil_chilson · 2026-10-16
- AI 安全公司 Xbow 六天找出影响十亿用户的 Chrome 全链路漏洞 — moyix · 2026-10-16