Yksi linkki riitti, ja Copilot luki sähköpostisi

Varonis Threat Labsin vanhempi tietoturvatutkija Lior Adar ei murtanut Microsoftin Copilotia. Hän kysyi siltä, miksi murtautuminen on mahdotonta. Copilot torjui pyynnön kohteliaasti ja perusteli torjuntansa teknisesti, ja kesken kieltäytymisen se kertoi dokumentoimattomasta osoiteparametrista, jonka varaan koko hyökkäys lopulta rakennettiin.

Ero tavalliseen on pieni mutta ratkaiseva. Copilotin verkko-osoitteeseen on voinut jo pitkään liittää kehotteen, joka täyttää tekstikentän valmiiksi. Käyttäjä näkee tekstin ja painaa itse lähetä. Adarin löytämä autorun-parametri poisti tuon välivaiheen: kehote lähti heti sivun latautuessa. Linkin avaaminen riitti. Copilotissa ei tarvinnut klikata mitään.

Kehote ei tietenkään ollut mitä tahansa tekstiä. Se oli hyökkääjän kirjoittama ohje, joka käski Copilotia käymään läpi käyttäjän liitetyt Gmail-, Google Drive-, kalenteri- ja OneDrive-tilit ja lähettämään löydökset ulos. Microsoft korjasi kokonaisuuden 18. elokuuta. Haavoittuvuus kulkee tunnuksella CVE-2026-24301 ja Varonisin antamalla nimellä CoSnitch.

Kolme heikkoutta, jotka toimivat vain yhdessä

Yksinään mikään kolmesta osasta ei olisi ollut erityisen vaarallinen. Ensimmäinen oli tuo automaattinen suoritus. Se ei vielä antanut hyökkääjälle mitään käsiin, vain äänen uhrin Copilotissa.

Toinen heikkous antoi äänelle ulottuvuutta. Copilotiin liitetty palvelu tarkoittaa OAuth-valtuutusta, jolla avustaja lukee tiliä käyttäjän puolesta. Kun hyökkääjän kehote pyysi etsimään sähköposteista salasanoja, tunnuksia ja palautuslinkkejä, Copilot etsi, koska sillä oli siihen lupa. Varonisin testeissä saaliiksi tuli muun muassa sähköpostitse jaettuja tunnuksia ja järjestelmien salasanoja.

Kolmas osa vei löydökset ulos. Copilot osaa noutaa verkko-osoitteen ja tiivistää sen sisällön, ja juuri sitä ominaisuutta hyökkäys käytti: kerätty tieto pakattiin osoitteen sisään ja Copilot haki osoitteen hyökkääjän palvelimelta. Valvonnassa tapahtuma näyttää siltä kuin käyttäjä olisi pyytänyt tiivistelmän jostakin sivusta. Mitään erillistä haittaohjelmaa ei tarvittu.

Varonis kiteyttää raportissaan löydön yhdellä lauseella, joka kuuluu alkukielellä englanniksi ”Copilot wasn't breached; it was played.”

Muisti, joka selvisi salasanan vaihdosta

Ketjun kolmas löydös erottaa CoSnitchin tavanomaisesta haavoittuvuusuutisesta. Copilotilla on pysyvä muisti, johon se tallentaa käyttäjää koskevia asioita keskustelusta toiseen. Varonis osoitti, että verkkosivulle piilotettu ohje pääsee kirjoittamaan tuohon muistiin, kun käyttäjä pyytää avustajaa tiivistämään sivun.

Sen jälkeen ohje ei lähde pois tutuilla keinoilla. Salasanan vaihto ei poista sitä. Istuntojen katkaisu ei poista sitä. Laitteen uudelleenrekisteröintikään ei auta, koska vika ei ole istunnossa vaan siinä, mitä avustaja muistaa käyttäjästä. Tietoturvaohjeiden vakiotemppu, vaihda salasana ja kirjaudu ulos kaikkialta, ei pure ongelmaan, jossa hyökkääjä on jättänyt jälkensä mallin muistiin.

Miksi tämä koskee tavallista käyttäjää

Copilot Personal on kuluttajatuote, ja juuri siksi löydös kannattaa ottaa vakavasti. Aukon hyödyntäminen ei vaatinut uhrilta osaamista, huolimattomuutta tai liitetiedoston avaamista. Riitti, että hän avasi linkin, jollaisia tulee päivittäin chatissa, sähköpostissa ja hakutuloksissa. Mitä enemmän palveluita avustajaan on liitetty, sitä suurempi oli saalis.

Suomalaisessa arjessa yhdistelmä on hyvin tavallinen. Työpaikan tunnukset ovat Microsoftin ympäristössä, henkilökohtainen sähköposti ja tiedostot Googlella, ja avustaja on se paikka, jossa nämä kaksi maailmaa kohtaavat saman keskusteluikkunan alla. Kun yhdelle työkalulle antaa luvan lukea molempia, sen haavoittuvuudesta tulee kotitalouden ja työnantajan yhteinen ongelma. Yritykselle kyse on siitä, että vuoto ei tapahdu hallitussa yritysympäristössä vaan työntekijän omalla kuluttajatilillä, jonne tietohallinnon näkyvyys ei ulotu.

Kahdeksan kuukautta

Joulukuusta elokuuhun on pitkä aika pitää auki reikä, jonka läpi näkee käyttäjän sähköpostiin. Varonis ei löytänyt merkkejä hyväksikäytöstä, mikä on korjausviiveen kannalta olennainen tieto, ja tekijänä oli tietoturvayhtiö eikä rikollisryhmä. Vertailukohta on silti karu: kun haavoittuvuutta jo käytetään hyväksi, korjausaikaa mitataan päivissä, kuten AI Suomi aiemmin kertoi. Microsoft ei kommentoi Varonisin raportissa löydöstä omin sanoin, vaan yhtiötä kiitetään yhteistyöstä korjauksen tekemisessä.

Korjaus sulkee yhden parametrin. Se ei muuta sitä perusasetelmaa, että avustajalla on samaan aikaan pääsy postilaatikkoosi ja kyky noutaa verkko-osoitteita, ja että sen ohjeet tulevat sisään samasta tekstivirrasta kuin kaikki muukin. Adarin tapa löytää aukko kertoo siitä jotain olennaista. Hän ei murtanut mitään, vaan pyysi järjestelmää selittämään oman puolustuksensa, ja järjestelmä selitti sen niin perusteellisesti, että puolustuksen ohittaminen kävi ilmi. Seuraavan CoSnitchin voi löytää kuka tahansa, joka jaksaa kysyä tarpeeksi kohteliaasti.