Faille CoSnitch : Copilot a révélé lui-même sa propre brèche

2026-08-21 · 6 min de lecture · Cybersécurité

Corrigée le 18 août 2026, la chaîne de vulnérabilités CoSnitch permettait d'exfiltrer courriels, calendrier et fichiers via un simple lien. Les chercheurs ne l'ont pas trouvée dans le code : ils l'ont obtenue de Copilot lui-même.

CoSnitch est une chaîne de trois vulnérabilités affectant Microsoft Copilot Personal, divulguée par Varonis Threat Labs et corrigée par Microsoft le 18 août 2026 sous la référence CVE-2026-24301 (Common Vulnerabilities and Exposures). Un simple lien piégé suffisait à exécuter une instruction attaquante à l'intérieur de la session déjà authentifiée de la victime, puis à extraire le contenu de sa messagerie, de son calendrier et de son espace de stockage infonuagique.

Le détail qui intéresse une direction des technologies de l'information n'est pas la faille elle-même, mais la manière dont elle a été trouvée. Les chercheurs n'ont ni décompilé de code ni intercepté de trafic réseau. Ils ont demandé à Copilot, à répétition, pourquoi une instruction ne pouvait pas s'exécuter sans clic de l'utilisateur. Chaque refus s'accompagnait d'une justification technique. Après plusieurs reformulations, l'assistant a nommé lui-même le paramètre d'adresse web non documenté qui contournait la confirmation, ainsi que les conditions de session dans lesquelles il fonctionnait. Varonis appelle cette technique le méta-piratage.

Comment fonctionne la chaîne d'attaque CoSnitch ?

L'attaque enchaîne trois défauts distincts, chacun inoffensif isolément.

Exécution automatique de l'instruction. Le paramètre documenté « q » pré-remplit le champ de saisie de Copilot. Combiné au paramètre non documenté « autorun=1 », il déclenche l'exécution au chargement de la page, sans clic ni confirmation visible. L'instruction s'exécute avec les droits de la session authentifiée de la victime.
Exfiltration par les connecteurs autorisés. L'instruction interroge les services reliés par OAuth (Open Authorization), encode les données récupérées dans une adresse web, puis se sert de la capacité native de Copilot à charger une page pour les transmettre vers un serveur contrôlé par l'attaquant. Chaque étape emprunte une fonction légitime.
Empoisonnement persistant de la mémoire. Une page web piégée que Copilot résume peut écrire des instructions de l'attaquant dans la mémoire longue durée de l'utilisateur. La modification de comportement survit à la fermeture de la session et s'applique aux conversations suivantes.

Les données confirmées comme extractibles couvrent le corps des courriels et leurs métadonnées d'expéditeur, les titres, participants, heures et lieux des rendez-vous, les noms de fichiers du stockage infonuagique, l'historique de conversation et la mémoire de l'assistant (Varonis Threat Labs, 18 août 2026).

Pourquoi le méta-piratage change la posture de sécurité

Varonis résume le mécanisme en une phrase : Copilot n'a pas été percé, il a été joué. La vulnérabilité initiale n'était pas dans le code, mais dans le comportement conversationnel du modèle. Un refus accompagné d'une explication technique est une fuite d'information : il indique à l'attaquant où creuser.

Ce vecteur porte un nom normalisé. L'OWASP GenAI Security Project classe l'injection d'instruction au premier rang de son Top 10 pour les applications à modèles de langage (LLM, Large Language Model), édition publiée le 18 novembre 2024. La variante indirecte, celle qu'exploite le troisième maillon de CoSnitch, dissimule les consignes dans un contenu que le modèle traitera plus tard. Le sujet n'est donc pas nouveau, mais l'écart entre le signalement de Varonis en décembre 2025 et le correctif du 18 août 2026 représente environ huit mois d'exposition. Varonis n'a relevé aucune exploitation avant le correctif. Le blogue a déjà documenté la manière dont l'IA accélère la découverte de failles de type zéro-day ; CoSnitch montre le versant inverse, où le modèle devient l'informateur.

« Seule la version personnelle est touchée » : une frontière théorique

Microsoft précise que seule Copilot Personal était affectée, que les clients entreprise ne l'étaient pas et qu'aucune action n'est requise de leur part, le correctif étant déjà déployé. Cette délimitation est exacte sur le plan contractuel et fragile sur le plan opérationnel.

Selon l'étude mondiale AI Agents at Work 2026 publiée par Okta, 52 % des employés utilisent des outils d'IA non approuvés par leur organisation, et 29 % reconnaissent y avoir partagé des documents confidentiels de l'entreprise. Une enquête Microsoft France réalisée avec YouGov en janvier 2026 auprès de 657 cadres et dirigeants indique que 61 % des utilisateurs d'IA en entreprise passent par un compte personnel au moins une fois par semaine. Une faille cantonnée à la version grand public atteint donc des données d'entreprise dès qu'un employé colle un extrait de contrat dans son compte privé.

Quelles obligations sous la Loi 25 en cas d'exfiltration ?

La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), dont le premier volet est en vigueur depuis septembre 2022, ne distingue pas le compte professionnel du compte personnel. Elle suit le renseignement.

La Commission d'accès à l'information du Québec (CAI) impose à toute entreprise d'évaluer le risque de préjudice de chaque incident de confidentialité, d'aviser la Commission et les personnes concernées lorsque ce risque est sérieux, et de tenir un registre de tous les incidents, y compris ceux jugés sans risque, conservé au minimum cinq ans à compter de la date de leur découverte. La CAI précise également qu'une entreprise qui confie des renseignements personnels à un tiers demeure responsable de l'ensemble de ses obligations en cas d'incident. Un assistant d'IA relié à une boîte courriel professionnelle entre dans ce périmètre.

Trois conséquences pratiques découlent du cas CoSnitch. La remédiation ne s'arrête pas au correctif du fournisseur : une mémoire d'assistant déjà empoisonnée conserve les instructions injectées et doit être purgée manuellement. La cartographie des connecteurs OAuth actifs devient un inventaire de conformité, au même titre que la liste des sous-traitants. L'usage de comptes personnels sur des appareils professionnels doit enfin être documenté plutôt qu'ignoré, faute de quoi l'entreprise ne peut ni détecter l'incident ni le déclarer dans les délais.

Questions fréquentes

Les entreprises sur Microsoft 365 Copilot sont-elles touchées par CoSnitch ?

Microsoft indique que la vulnérabilité CVE-2026-24301 visait uniquement Copilot Personal et que les clients entreprise n'étaient pas exposés. Le risque résiduel provient des employés qui utilisent leur compte Copilot personnel sur un appareil de travail, hors du périmètre de surveillance de la direction des technologies de l'information.

Qu'est-ce qu'une injection d'instruction indirecte ?

Une injection d'instruction indirecte dissimule des consignes malveillantes dans un contenu qu'un modèle de langage traitera plus tard : page web, document, courriel. Le modèle exécute ces consignes comme si elles venaient de l'utilisateur. L'OWASP GenAI Security Project la classe au premier rang de son Top 10 pour les applications à modèles de langage.

Une exfiltration via un compte IA personnel doit-elle être déclarée à la CAI ?

Si l'incident touche des renseignements personnels dont l'entreprise est responsable et présente un risque de préjudice sérieux, oui. La Loi 25 impose alors d'aviser la Commission d'accès à l'information et les personnes concernées avec diligence, et de consigner l'incident au registre, quel que soit le compte par lequel la fuite est survenue.

Le correctif du 18 août 2026 clôt-il le dossier ?

Non. Le correctif supprime le vecteur d'exécution automatique, mais une mémoire d'assistant empoisonnée avant cette date conserve les instructions injectées et continue d'influencer les réponses. Vérifier puis purger les mémoires persistantes et les instructions sauvegardées fait partie de la remédiation.

Sources

Varonis Threat Labs, « CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower », 18 août 2026 : https://www.varonis.com/blog/cosnitch
The Hacker News, « Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data From Connected Apps », 19 août 2026 : https://thehackernews.com/2026/08/microsoft-copilot-personal-flaws-could.html
OWASP GenAI Security Project, « LLM01:2025 Prompt Injection » : https://genai.owasp.org/llmrisk/llm01-prompt-injection/
Commission d'accès à l'information du Québec, « Incidents de confidentialité et mesures de sécurité » : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/information-entreprises-privees/incidents-confidentialite-mesures-securite-entreprises
LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1

Voir tous les articles