專家們透過不斷詢問有關微軟 Copilot 身分的問題來破解它。

微軟的人工智慧助理Copilot向一群研究人員揭示如何利用它來提取數據，而且他們成功了。這個過程並非一帆風順，人工智慧也沒有變得“邪惡”，但可以說它相當天真。

安全公司 Varonis 發布了一份新報告，詳細介紹了其在 Copilot 中發現的安全漏洞，並將其命名為CoSnitch。

這個名稱強烈暗示了漏洞的性質——CoSnitch 是一系列三個安全漏洞，微軟後來將其分類為 CVE-2026-24301，嚴重性評級為 8.8/10（高），並通過更新進行了修補。

你騙不了我，我這就告訴你為什麼。

網路犯罪分子長期以來一直將人工智慧作為其攻擊手段的一部分，幫助他們製作極具迷惑性的釣魚郵件、編寫惡意程式碼並識別高價值目標。開發人員則透過實施安全措施來應對，以防止人工智慧執行某些任務。

瓦羅尼斯在報告中指出，她的研究人員並沒有在程式碼中尋找錯誤，也沒有嘗試對現有的漏洞進行逆向工程。相反，他們只是與人工智慧進行對話，透過不斷提問，了解其安全屏障及其運作方式。他們將這種技術稱為「元駭客」。

每當副駕駛拒絕請求時，他都會解釋原因，這讓研究人員得以了解他的工作方式。或者，正如瓦羅尼斯所指出的那樣，他「背叛」了自己。這最終幫助他們繪製出他的防禦機製圖，並找到克服這些機制的方法：這項實驗展示瞭如何探索副駕駛的各項功能。

他們解釋說：“阻力是技巧的一部分。每一句‘這行不通，因為……’都是在邀請你去探究‘為什麼’。你不是利用模型，而是操控它為你所用。”

在與 Copilot 進行了長時間的對話後，研究人員無意中得知瞭如何創建一個 URL，一旦點擊該 URL，就會啟動一系列交互，最終導致敏感資料的提取。

將人工智慧與應用程式連結的風險

因此，Varonis 發現，透過建立類似「https://copilot.microsoft.com/?q=&autorun=1*」這樣的 URL，攻擊者只需點擊該鏈接，就能讓 Copilot 執行任何惡意命令。例如，攻擊者可以將此連結嵌入釣魚郵件中，誘騙受害者點擊，從而指示人工智慧將所有敏感資料發送到攻擊者的基礎設施。

但這只是挑戰的一半。在這種設定下，研究人員只能檢索到受害者在與 Copilot 共同操作期間共享的資料。

一旦受害者將他們的應用程式（例如 Gmail、雲端硬碟、日曆等）連接到人工智慧系統，風險就會立即升級。正如 Varonis 所解釋的，惡意指令可以指示 Copilot 提取 Gmail 中的所有電子郵件地址、電子郵件中包含的所有密碼和其他敏感資訊、雲端硬碟資料夾中儲存的所有資料以及日曆中記錄的所有事件。這些風險凸顯了了解如何明智地使用 Microsoft 365 中的人工智慧功能的重要性。

CoSnitch漏洞系列的第三部分名為「透過網頁摘要進行持久記憶體投毒」。正如Varonis所解釋的那樣，攻擊者可以創建一個網頁，當Copilot對其進行摘要時，攻擊者的指令就會被注入到受害者的持久記憶體中。

他們警告說，這種漏洞「即使更改密碼、取消會話或重新註冊設備也能持續存在，不會失效」。這種被稱為「間接提示注入」的漏洞並非全新；它先前已被發現，其根源在於人工智慧無法區分指令和待分析的資料。

研究人員指出，微軟在2025年12月就已獲悉CoSnitch的存在，但直到2026年8月中旬才著手解決此問題。遺憾的是，我們並不清楚微軟是如何解決這個問題的；我們只能推測，Copilot可能被指示不要解釋其安全機制的運作方式，這與微軟力求對Copilot的功能進行最佳控制的做法相符。考慮到CoSnitch的底層特性，微軟或許應該對解決方案保密。

幸運的是，這個漏洞似乎並未被廣泛利用，因為Varonis沒有發現任何濫用證據。該漏洞已在伺服器端修復，這意味著用戶目前無需進行任何操作。

研究人員提醒，由於這並非程式碼漏洞，其他人工智慧模型也可能受到相同技術的攻擊。他們總結道：「這種揭露 CoSnitch 的新型元駭客技術——它利用相同的人工智慧邏輯來揭示其隱藏的內部機制——適用於任何具有自然語言介面的智慧體平台。」他們還補充說，他們將很快發布更多研究成果。