CoSnitch: la vulnerabilidad Copilot que el propio asistente confesó — un clic alcanzaba para sacarte contraseñas del Gmail

La vulnerabilidad Copilot que los investigadores de Varonis bautizaron CoSnitch hacía algo incómodo de leer: con un solo clic en un link, el asistente de Microsoft entraba al Gmail que vos mismo le conectaste, sacaba el cuerpo de tus correos —contraseñas incluidas— y se los mandaba al atacante. Vos no apretabas ningún botón: alcanzaba con que la página cargara. Según Varonis, Microsoft envió parches hoy, 18 de agosto de 2026, y la firma dice no haber visto el ataque usado contra nadie en el mundo real.

Hay una parte que el parche no toca, y es la que conviene leer despacio: si el ataque llegó a escribir algo en la memoria de tu Copilot, esa instrucción sigue ahí hasta que la borres a mano.

🔄 Actualización del 18 de agosto de 2026, media tarde — Microsoft sí habló, y acá abajo lo dijimos mal: cuando publicamos esta nota escribimos que no había comunicado público de Microsoft sobre el caso. Lo había, y desde antes: a las 11:00 de la mañana (hora argentina), dos horas y media antes de que esto saliera, Microsoft publicó la ficha CVE-2026-24301 en su Security Update Guide: «Microsoft Copilot Information Disclosure Vulnerability», severidad Crítica, puntaje 8,8, producto afectado Copilot Web. Y contesta la pregunta que esta nota dejaba abierta: la propia ficha se pregunta por qué no ofrece ninguna actualización para instalar, y se responde que «esta vulnerabilidad ya fue totalmente mitigada por Microsoft. No hay ninguna acción que los usuarios de este servicio deban tomar» (traducción nuestra). El campo Customer Action Required dice No. Que el número corresponde a este hallazgo lo dice el propio documento de Microsoft, que agradece a Lior Adar, de Varonis —el autor del informe—, junto a otros dos investigadores. Lo que la ficha no menciona es la memoria: el único impacto que declara es divulgación de información, así que la tarea que te deja esta nota —revisar a mano lo que quedó escrito en la memoria de tu Copilot— sigue intacta. Lo corregimos abajo: en la tabla, en el cuerpo y en las preguntas frecuentes.

• Qué es la vulnerabilidad Copilot que Varonis bautizó CoSnitch
• Meta-hacking: el asistente se delató solo
• Las tres fallas que había que encadenar
• La parte que no se borra sola
• Tercer round: Varonis ya venía de Reprompt y SearchLeak
• ¿Y esto qué significa para vos?
• Preguntas frecuentes

Qué es la vulnerabilidad Copilot que Varonis bautizó CoSnitch

CoSnitch es una cadena de tres fallas distintas en Microsoft Copilot Personal —el Copilot de consumo, el que vive en copilot.microsoft.com— que juntas convierten un clic en una fuga de datos silenciosa. El informe lo firma Lior Adar, investigador senior de seguridad de Varonis Threat Labs, y se publicó hoy a las 13:00 GMT.

El cierre del propio informe es más filoso que cualquier resumen: «tres vulnerabilidades, un clic y cero señales anómalas». Lo de «cero señales» es el punto: nada de lo que hace el ataque se ve raro. Copilot lee tu correo porque vos le diste permiso para leer tu correo. Copilot busca una URL porque buscar URLs es lo que Copilot hace todo el día. Desde la capa de red, la exfiltración es indistinguible de cualquier otra cosa.

Vale la pena aclarar de entrada de dónde sale todo esto, porque cambia cómo se lee: la fuente es una sola y es parte interesada. Varonis es una empresa de seguridad de datos que, entre otras cosas, vende productos para monitorear justamente a Copilot, y el informe termina con una invitación a pedir una demo. Eso no vuelve falso nada de lo técnico —el detalle es específico, reproducible y Microsoft respondió con parches—, pero conviene tenerlo presente. Lo que sí hay, y no lo teníamos a mano cuando publicamos: Microsoft le puso ficha propia al fallo (la CVE-2026-24301, severidad Crítica) y ahí agradece a Lior Adar, de Varonis, junto a otros dos investigadores. O sea que el fabricante confirma el hallazgo, su gravedad y a quién se lo debe. El relato técnico detallado, en cambio, sigue viniendo de una sola fuente.

Meta-hacking: el asistente se delató solo

Acá está lo que hace de esta historia algo más que un boletín de seguridad. Los investigadores no hicieron ingeniería inversa. No desarmaron binarios. Le preguntaron a Copilot, y Copilot les contestó.

La secuencia, según el informe, fue así: preguntaron cómo se haría para que un prompt se ejecutara solo, sin que el usuario hiciera nada. Copilot explicó que eso no era posible, que hace falta intención del usuario, que los prompts no se disparan solos. Y cada vez que explicaba por qué no se podía, iba entregando un pedazo más del mapa.

No explotás al modelo. Lo manipulás para que colabore.

Lior Adar, investigador senior de seguridad — vía Varonis Threat Labs (traducción propia)

Varonis llama a la técnica meta-hacking: ingeniería social aplicada al motor de razonamiento en vez de a una persona. La resistencia del modelo es parte del método —cada «eso no va a funcionar porque…» es una invitación a preguntar por el porque—. Y en algún punto de esa conversación, mientras seguía explicando por qué el ataque era imposible, Copilot largó un parámetro de URL no documentado, sin que se lo pidieran, junto con su historial de comportamiento y las protecciones que le habían puesto encima.

A Copilot no lo vulneraron: lo engañaron.

Informe CoSnitch — vía Varonis Threat Labs (traducción propia)

Las tres fallas que había que encadenar

Con ese parámetro en la mano, el resto se armó solo. La vulnerabilidad Copilot que Varonis describe no es un agujero único sino tres problemas separados, y cada uno es serio por su cuenta.

1. El prompt que se ejecutaba solo

El parámetro ?q= de Copilot por sí solo no alcanzaba: precarga texto en el campo de entrada, pero el usuario todavía tiene que apretar Enter. Lo que Copilot reveló fue un segundo parámetro, ?autorun=1, que dispara la ejecución al cargar la página. Con los dos juntos, el prompt del atacante corría solo, dentro de tu sesión ya autenticada, sin un solo gesto tuyo. El informe aclara algo desagradable: la ejecución se completaba aunque cerraras la pestaña inmediatamente.

2. El correo que salía por la puerta de adelante

Una vez adentro, el prompt inyectado usaba los conectores OAuth que vos habilitaste —Gmail, Drive, Calendar— y que Copilot invoca en tu nombre. No metadatos: cuerpos completos de mensajes. En las pruebas, dice el informe, eso incluyó correos con credenciales compartidas por mail, contraseñas de sistemas internos y links de recuperación de contraseña.

La salida fue todavía más elegante: el ataque codificaba el botín en base64 —lo que además ayuda a esquivar los filtros que buscan patrones de contraseñas en el tráfico saliente— y lo pegaba dentro de una URL. Después le pedía a Copilot que «resumiera» esa URL. Copilot hacía el GET, y el servidor del atacante se quedaba con los datos en la ruta del pedido.

3. La página que le daba órdenes por lo bajo

La tercera es la más difícil de defender conceptualmente. Cuando le pedís a Copilot que te resuma una página web, Copilot la descarga y mete el texto en su contexto. El problema: no distingue entre «contenido para resumir» e «instrucciones para obedecer». Una página preparada con instrucciones escondidas —texto blanco de un píxel, comentarios de HTML, metadatos— podía hacer que el modelo las ejecutara mientras te devolvía un resumen perfectamente normal.

La parte que no se borra sola

Y acá llegamos a la parte de la vulnerabilidad Copilot que hace que esta nota valga la pena aunque los parches ya hayan salido. Lo que esas instrucciones ocultas escribían era la memoria persistente de Copilot: ese almacén de contexto que sobrevive de una sesión a otra para que el asistente «se acuerde» de vos.

Y en este punto el informe no se anda con matices: una vez escrita, la instrucción es permanente. La memoria no expira, no se resetea entre sesiones y —textual— «nunca se borra ni se sobrescribe automáticamente». Varonis es igual de explícito sobre lo que no la saca: cambiar la contraseña no la borra, revocar las sesiones no la borra, y volver a dar de alta el dispositivo tampoco. O sea que los tres pasos que cualquiera daría si sospecha que lo hackearon no sirven acá.

La única salida que el informe describe es entrar a los ajustes de memoria de Copilot y borrar la entrada a mano. Y no hace ninguna excepción por el parche, así que lo prudente es revisarla uno mismo en vez de asumir que se fue con el arreglo.

¿Para qué sirve una instrucción metida ahí? El informe da un ejemplo que suena a chiste y no lo es: le dijeron a Copilot que cierto CVE no representaba ningún riesgo. Un atacante con acceso a tu memoria puede moldear lo que el asistente te cuenta de ahí en adelante —incluyendo tapar advertencias de seguridad o presentarte como inofensiva una vulnerabilidad conocida—. Y no deja rastro: ni proceso, ni archivo, ni conexión, ni una línea de log que alguna herramienta pueda marcar.

Tercer round: Varonis ya venía de Reprompt y SearchLeak

CoSnitch no es un hallazgo suelto: es la tercera vulnerabilidad Copilot que Varonis Threat Labs publica este año, y los tres comparten la misma forma —un clic en un link que parece legítimo—.

Es un patrón que conviene mirar con calma: no son fallas de programación clásicas, del tipo «se olvidaron de validar un campo». Son consecuencias del modelo de confianza con el que se construyeron estos asistentes. Cuando una sola herramienta tiene acceso a tu correo, tus archivos, tu calendario y tus chats, cualquier grieta en cómo decide qué obedecer se convierte en una llave maestra. Si te suena parecido al implante que esconde su centro de mando dentro de SharePoint y Teams, es porque la lógica es la misma: abusar de lo que la herramienta legítimamente puede hacer, en vez de romper algo.

Conviene cerrar esta parte con la conclusión del propio Varonis, que es menos alarmista de lo que uno esperaría de una empresa que vende seguridad: «la moraleja de CoSnitch no es ‘dejá de usar Copilot'». Lo que sostienen es otra cosa — que el modelo de amenazas de los asistentes de IA no está yendo al ritmo al que se los adopta.

¿Y esto qué significa para vos?

Empecemos por lo que se sabe del arreglo, sin adornos. Varonis dice que Microsoft envió parches el 18 de agosto de 2026, y Microsoft lo confirma ese mismo día en la ficha CVE-2026-24301: la vulnerabilidad «ya fue totalmente mitigada» y «no hay ninguna acción que los usuarios de este servicio deban tomar» (traducción nuestra). No hay descarga ni versión que instalar de tu lado: se arregló en los servidores de Microsoft. Lo que ninguno de los dos documentos dice es qué corrigió cada parche, y la ficha declara un solo impacto —divulgación de información—, que es la pata del robo de datos. Sobre lo que haya quedado escrito en tu memoria de Copilot, ni una palabra.

Dicho eso, la vulnerabilidad Copilot deja una tarea concreta de tu lado, y lleva cinco minutos:

• Revisá la memoria de Copilot. Es el único punto que el informe describe como persistente hasta que alguien la borra a mano. Entrá a los ajustes de memoria y fijate si hay entradas que no reconocés. La mayoría de la gente ni sabe que esa memoria existe, que es justamente lo que la volvía tan cómoda para un atacante.
• Podá los conectores. Mirá qué servicios tenés enchufados a Copilot y desconectá los que no usás de verdad. Es la primera recomendación que el informe le da a los equipos de seguridad: menos conexiones, menos radio de explosión.
• Desconfiá de los links que te abren una IA con el texto ya escrito. Si hacés clic en algo y aparece un asistente con un prompt precargado, leelo antes de que corra. Ese es el gesto que este ataque necesitaba.
• Sacá las contraseñas del correo. Esto es lo más incómodo del informe: parte de lo que se llevaron en las pruebas salió de mails que tenían claves escritas adentro. Si esa información no vive en tu bandeja de entrada, no hay nada que llevarse.

Y una nota de contexto para el lector de acá: el vector de entrada no era exótico —el informe menciona correo, chat, una página de phishing o un código QR—. Ese eslabón, el de la entrega, es el único donde una protección instalada en tu PC tiene algo que decir: una licencia de ESET con anti-phishing actúa sobre la página trucha que te pasa el link, no sobre el fallo de Copilot, que es cosa de Microsoft.

Si venías siguiendo el tema, esto se cruza con la fusión de las dos apps de Copilot en una sola: cuanto más se concentra todo en un único asistente con acceso a todo, más caro sale cada agujero como este.

Preguntas frecuentes sobre CoSnitch y Copilot

¿Me robaron datos con CoSnitch?

Varonis dice no tener evidencia de que esta vulnerabilidad Copilot se haya usado contra usuarios reales: lo que publicaron es una prueba de concepto que le reportaron a Microsoft en diciembre de 2025. La ficha de Microsoft coincide: marca el fallo como no explotado y no divulgado públicamente antes del arreglo. No hay, al cierre de esta actualización, ningún reporte público de víctimas.

¿Tengo que actualizar Copilot para estar protegido?

No. Microsoft publicó el mismo 18 de agosto la ficha CVE-2026-24301, donde dice que la vulnerabilidad ya está totalmente mitigada de su lado y que el usuario del servicio no tiene ninguna acción que tomar: no hay descarga ni versión que instalar. Lo que sí queda en tus manos es revisar si tu memoria de Copilot tiene entradas que no pusiste vos: esa parte el informe la describe como permanente, y la ficha de Microsoft no la menciona.

¿Por qué cambiar la contraseña no alcanzaba?

Porque la instrucción inyectada no vivía en tu sesión sino en la memoria persistente de Copilot. El informe dice que sobrevive al cambio de contraseña, a revocar las sesiones y hasta a volver a registrar el dispositivo. Solo se saca borrándola manualmente desde los ajustes de memoria.

¿Esto afecta al Copilot de Microsoft 365 del trabajo?

El informe apunta al Copilot de consumo y a sus conectores OAuth —Gmail, Drive, Calendar—, que la versión empresarial no usa; a esa la golpeó SearchLeak, un fallo distinto de junio. La ficha de Microsoft va en la misma línea: el único producto que lista como afectado es Copilot Web. Pero ojo con la tranquilidad fácil: Varonis enmarca esta vulnerabilidad Copilot como fuga de datos corporativos a través del asistente personal, y desde el 13 de agosto las dos apps se están fusionando.

🛒 Te puede servir

ESET Smart Security Premium – 12 Meses – 1 PCAnti-phishing para el correo y la web: cubre la página que te pasa el link, no el fallo de CopilotVer precio de hoy →

¿Y vos qué opinás? Dejalo en los comentarios ⬇️
Sumá anti-phishing al correo y a la web →