Microsoft corregge una falla di Copilot: un solo collegamento bastava a estrarre dati
La vulnerabilità CVE-2026-24301, chiamata CoSnitch dai ricercatori che l'hanno segnalata, è stata corretta il 18 agosto. Storia distinta da quella pubblicata stamattina sulla sospensione degli addestramenti di OpenAI: qui il problema non riguarda l'addestramento dei modelli, ma il modo in cui un assistente già in produzione dialoga con i servizi a cui è collegato.
Il 18 agosto 2026 Microsoft ha distribuito la correzione per la vulnerabilità registrata come CVE-2026-24301 e battezzata CoSnitch dai ricercatori di Varonis Threat Labs, che l’hanno individuata e segnalata. Il difetto riguardava Copilot, l’assistente conversazionale integrato nell’ecosistema dell’azienda, e permetteva a un singolo collegamento malevolo di avviare l’esecuzione automatica di istruzioni e l’estrazione di dati dai servizi connessi all’utente, fra cui Gmail e Drive.
La catena di attacco descritta dai ricercatori si componeva di tre anelli, nessuno dei quali, isolato, sarebbe stato sufficiente. Il primo era un parametro dell’indirizzo non documentato, cioè una variabile prevista dal sistema ma non descritta pubblicamente. Il secondo era la funzione con cui Copilot recupera in autonomia il contenuto di una pagina indicata, senza che l’utente debba aprirla. Il terzo era l’avvelenamento della memoria persistente, il meccanismo che consente all’assistente di conservare informazioni fra una conversazione e la successiva: alterandone il contenuto, le istruzioni inserite dall’attaccante non si esauriscono con lo scambio in corso.
È qui che il caso si distingue da una comune vulnerabilità di un programma. L’oggetto attaccato non è un archivio, ma un intermediario che ha accesso legittimo agli archivi altrui e che agisce a partire da testo. Ogni collegamento con la posta elettronica, i documenti o il calendario aggiunge una porta che l’assistente può attraversare in nome dell’utente, e che chi controlla le istruzioni può tentare di far attraversare al posto suo. Il perimetro di sicurezza non coincide più con il programma installato, ma con l’insieme dei servizi collegati.
Il materiale disponibile non indica se la falla sia stata sfruttata prima della correzione, né quanti utenti fossero potenzialmente esposti: sono due dati che restano non accertati e vanno registrati come tali.
Nello stesso periodo l’agenzia statunitense per la sicurezza informatica, la Cisa, ha inserito nel proprio catalogo delle vulnerabilità sfruttate note la CVE-2025-62593, che riguarda Ray, un’infrastruttura a codice aperto molto usata per distribuire carichi di calcolo su più macchine, addestramento di modelli compreso. L’inserimento in quel catalogo non è una segnalazione teorica: indica che lo sfruttamento è stato osservato. La scadenza fissata per la correzione era il 20 agosto.
Le due vicende toccano estremi opposti della stessa filiera — l’assistente rivolto all’utente finale e lo strato di calcolo che sta sotto ai modelli — e nessuna delle due nasce da un errore del modello linguistico in sé: riguardano il modo in cui questi sistemi vengono collegati a tutto il resto.
Sulla vicenda va dichiarato un limite: la notizia proviene al momento da un’unica origine (la rassegna AI Weekly, che rimanda alla ricerca di Varonis Threat Labs, al bollettino Microsoft e al catalogo della Cisa); nessuna conferma indipendente è disponibile nel materiale a nostra disposizione. Il pezzo va letto con questo margine.
Per chi amministra installazioni di Ray, il termine indicato dalla Cisa per applicare la correzione è già trascorso al momento di questa edizione.
Fonte: AI Weekly
← Archivio · Prima pagina · Editoriali passati · Segnala un errore