Microsoft Copilot vừa được phát hiện một chuỗi lỗ hổng bảo mật có tên CoSnitch, cho phép các nhà nghiên cứu tìm cách vượt qua cơ chế bảo vệ của AI và thực hiện hành vi đánh cắp dữ liệu. Microsoft đã phát hành bản vá cho lỗ hổng được định danh CVE-2026-24301 với mức độ nghiêm trọng 8,8/10.
Microsoft Copilot xuất hiện lỗ hổng CoSnitch nghiêm trọng
Theo báo cáo từ công ty bảo mật Varonis, CoSnitch là tên được đặt cho một chuỗi ba lỗ hổng liên quan đến Microsoft Copilot. Sau khi được Microsoft phân loại, chuỗi lỗ hổng này mang mã CVE-2026-24301 và được đánh giá ở mức 8,8/10, thuộc nhóm có mức độ nghiêm trọng cao.
Điểm đáng chú ý là các nhà nghiên cứu không bắt đầu bằng việc phân tích mã nguồn hay tìm kiếm một lỗ hổng kỹ thuật có sẵn. Thay vào đó, họ trò chuyện trực tiếp với Copilot, đặt các câu hỏi liên tiếp để tìm hiểu cách AI vận hành và những giới hạn trong hệ thống bảo vệ của mình.
Varonis gọi phương pháp này là “meta-hacking”. Khi Copilot từ chối một yêu cầu, AI thường giải thích lý do không thể thực hiện. Chính những lời giải thích này vô tình cung cấp thêm thông tin cho các nhà nghiên cứu về cách hệ thống bảo vệ hoạt động và cách có thể tìm kiếm điểm yếu.
Copilot vô tình tiết lộ cách vượt qua hàng rào bảo vệ
Trong quá trình thử nghiệm, các nhà nghiên cứu nhận thấy mỗi lần Copilot nói rằng một yêu cầu không thể thực hiện vì một lý do cụ thể, phần giải thích đó lại trở thành cơ sở cho câu hỏi tiếp theo. Qua nhiều lần tương tác, họ từng bước lập bản đồ các cơ chế phòng vệ của Copilot.
Varonis mô tả cách tiếp cận này là khai thác chính sự chống đối của AI. Thay vì trực tiếp tấn công mô hình, nhà nghiên cứu khiến Copilot cung cấp thông tin về những điều mà hệ thống không cho phép thực hiện, từ đó tìm cách khiến AI hợp tác theo một hướng khác.
Sau một cuộc hội thoại kéo dài, nhóm nghiên cứu phát hiện cách tạo một URL có khả năng kích hoạt prompt độc hại ngay khi người dùng nhấp vào. Về lý thuyết, kẻ tấn công có thể đưa liên kết này vào một email phishing và dụ nạn nhân truy cập.
Kết nối Gmail, Drive khiến nguy cơ nghiêm trọng hơn
Bản thân cơ chế URL độc hại ban đầu vẫn có giới hạn, bởi dữ liệu có thể bị lấy đi phụ thuộc vào những thông tin mà nạn nhân đã cung cấp cho Copilot trong phiên làm việc. Tuy nhiên, rủi ro tăng đáng kể khi Copilot được kết nối với các ứng dụng và dịch vụ khác.
Theo Varonis, nếu AI được cấp quyền truy cập vào Gmail, Google Drive, Calendar hoặc những dịch vụ tương tự, prompt độc hại có thể hướng Copilot tìm kiếm và thu thập nhiều loại thông tin nhạy cảm. Điều này có thể bao gồm địa chỉ email, dữ liệu trong thư, mật khẩu hoặc thông tin bí mật, cũng như các tệp được lưu trữ trên Drive.
Một phần khác trong chuỗi CoSnitch liên quan đến kỹ thuật “persistent memory poisoning via web summarization”. Kẻ tấn công có thể tạo một trang web chứa chỉ dẫn độc hại, sau đó khiến Copilot đọc và tóm tắt nội dung. Những chỉ dẫn này có khả năng được đưa vào bộ nhớ lâu dài của AI.
Varonis cảnh báo dạng indirect prompt injection này có thể khiến chỉ dẫn độc hại tồn tại ngay cả sau khi người dùng thay đổi mật khẩu, thu hồi phiên đăng nhập hoặc đăng ký lại thiết bị. Đây là vấn đề đáng chú ý đối với các hệ thống AI có khả năng ghi nhớ thông tin lâu dài.
Microsoft đã vá CoSnitch nhưng nguy cơ còn rộng hơn
Varonis cho biết Microsoft được thông báo về CoSnitch từ tháng 12/2025 và đã xử lý vấn đề vào giữa tháng 8/2026. Bản sửa lỗi được triển khai phía máy chủ, vì vậy người dùng hiện không cần thực hiện thêm thao tác cập nhật nào để nhận bản vá.
May mắn là nhóm nghiên cứu chưa tìm thấy bằng chứng cho thấy CoSnitch đã bị khai thác ngoài thực tế. Tuy nhiên, sự tồn tại của kỹ thuật meta-hacking cho thấy các hệ thống AI có giao diện ngôn ngữ tự nhiên vẫn có thể xuất hiện những phương thức tấn công khó dự đoán.
Đáng chú ý, CoSnitch không đơn thuần là một lỗi trong mã nguồn của Copilot. Các nhà nghiên cứu cho rằng phương pháp khai thác dựa trên việc khiến AI tự tiết lộ thông tin về cơ chế vận hành có thể được áp dụng với những nền tảng AI agent khác.
Vì vậy, vấn đề không chỉ nằm ở riêng Microsoft Copilot mà còn đặt ra câu hỏi lớn hơn về việc kết nối AI với dữ liệu doanh nghiệp. Khi AI ngày càng có quyền truy cập Gmail, Drive, lịch làm việc và nhiều ứng dụng khác, việc kiểm soát quyền hạn, bộ nhớ và khả năng thực hiện hành động của AI sẽ trở thành yếu tố quan trọng trong bảo mật.