研究者はCopilotに「なぜコマンドを自動実行させられないのか」と尋ねた。Copilotは理由を説明し——そして隠されたスイッチの名前を口にした。
Varonis Threat Labsは8月18日、マイクロソフトがようやく完全な修正を出したのと同じ日に、CoSnitchの詳細を公開した。研究者はリバースエンジニアリングを一切していない。Copilot Personalに対し、角度を変えて何度も「なぜプロンプトの自動実行が不可能なのか」と尋ねただけだ。丁寧な拒否のたびに背後のアーキテクチャが少しずつ説明され、ついにアシスタントは文書化されていないURLパラメータの名前を自ら明かした。プロンプトを運ぶ既知のパラメータと組み合わせると、リンク一つでページ読み込みの瞬間に攻撃者の指示が走る——クリックも確認も要らない。そこからCopilotは被害者が接続したアカウント、つまりGmail、ドライブ、カレンダー、OneDriveを読み取り、見つけたものをウェブアドレスに詰め込んでそのアドレスを取得し、中身を攻撃者のサーバーへ渡せた。第三の弱点は、ごく普通のウェブページに埋め込んだ指示をCopilotの長期記憶に書き込ませるもので、パスワード変更もセッション失効も端末の再登録も生き延びた。Varonisは2025年12月に報告し、マイクロソフトは2月に連鎖の一部を塞ぎ、残りを8月18日に閉じた。実際に悪用された形跡はない。
なぜ重要かバグは直った。手法は直っていない。アシスタントが出す安全上の拒否は、同時に小さな開示でもある。なぜそれをしないのかを何かしら語らねばならず、その「何かしら」が積み重なれば地図になる。自然言語で自らを説明するシステムを世に出す前には存在しなかった脆弱性の類型であり、個々のパラメータにパッチを当てても解決しない。得られたものがいかに平凡だったかも注目に値する。この攻撃はマイクロソフトのサーバーを破ったのではなく、あなたがすでに与えていた権限を使っただけだ——アシスタントをメールボックスにつなぐとは、まさにそういうことなのだ。
アプリで読む——無料・9言語
関連ニュース
アップル・ミュージックは機械が作った曲を知らせる——ただし、そう申告するかは投稿者しだい2026-08-21ディープシークの安価な主力モデルが「見る」ようになった——視覚を要するエージェント課題でアンソロピック最上位に迫ると主張
2026-08-21Stripeがモデルルーターに75億ドルを払った。その数日後、Rampは自前のものを作り、1月まで無料で配っている。
2026-08-21Metaのアシスタントは画面を読み、どのウィンドウにも文字を打ち込むMacアプリになった。そして見たものはモデルの学習に使われうる
2026-08-21ニュースサイトでの1クリックが「この媒体をもっと見せて」とGoogleに伝えるようになった。しかも読んでいたページから離れずに
2026-08-21