Copilot é manipulado por pesquisadores, “ensinando” como explorar falha de segurança

Uma falha crítica no Copilot da Microsoft, batizada de CoSnitch, permitia o roubo silencioso de dados confidenciais e até a manipulação da memória do assistente. A descoberta foi feita por pesquisadores do Varonis Threat Labs, que utilizaram engenharia social para fazer com que a própria inteligência artificial revelasse comandos internos que deveriam estar desativados.

A brecha, comunicada à Microsoft em dezembro de 2025, permitia a exploração através de um único link malicioso. A grande preocupação reside no fato de que, com o Copilot frequentemente mantido conectado no navegador, a interface executava instruções indesejadas instantaneamente, sem a necessidade de confirmação do usuário.

Não foram encontradas evidências de que a falha CoSnitch tenha sido explorada por criminosos. Uma correção oficial foi disponibilizada na versão web do Copilot nesta terça-feira (18). A investigação detalhada revela como a IA foi levada a cooperar com as tentativas de invasão.

O “meta-hacking” que revelou comandos ocultos

Para identificar a falha, os especialistas aplicaram técnicas de engenharia social no mecanismo de raciocínio do Copilot. Esse processo, apelidado de “meta-hacking”, fez com que o sistema, de forma inesperada, revelasse comandos internos que deveriam estar protegidos e desativados.

Inicialmente, ao ser questionado sobre a possibilidade de executar um comando sem apertar a tecla Enter, o Copilot afirmou ser impossível. No entanto, os analistas insistiram, reformulando cada justificativa do chatbot como novas perguntas sobre regras de segurança.

Durante a interação, a ferramenta descreveu um recurso não documentado: o comando “autorun=1”. Embora a IA afirmasse que a função não operava, ela detalhou as condições necessárias para sua ativação. Os pesquisadores confirmaram que a ação continuava rodando em segundo plano, demonstrando a manipulação bem-sucedida do sistema.

Acesso a contas conectadas e extração de dados sensíveis

A exploração da falha CoSnitch era surpreendentemente simples, bastando apenas que o usuário abrisse um link malicioso. Como muitos usuários mantêm o Copilot ativo em seus navegadores, a página maliciosa carregava e executava instruções sem qualquer alerta, permitindo o acesso a dados confidenciais.

Com as permissões já ativas, o Copilot operava sem alarde, possibilitando a consulta e extração de senhas em texto simples armazenadas em mensagens, a leitura de compromissos de agenda e a localização de documentos em serviços como Gmail e Google Drive.

Reescrita da memória da IA: um risco persistente

A vulnerabilidade permitia ainda a execução de uma técnica conhecida como injeção indireta, capaz de contaminar a memória persistente do Copilot. Isso era feito ao solicitar um resumo de uma página web contendo instruções ocultas em código HTML.

O assistente, ao interpretar o texto “escondido” como uma ordem de sistema, entregava o resumo solicitado. Contudo, nos bastidores, o Copilot gravava novas instruções de comportamento em seu armazenamento de longo prazo, moldando suas respostas futuras indefinidamente.

Essa modificação só poderia ser revertida se o usuário acessasse configurações específicas de memória para apagar manualmente a regra inserida. A descoberta da falha CoSnitch ressalta a importância da constante vigilância e atualização de sistemas de inteligência artificial.