Des experts piratent Microsoft Copilot en posant constamment des questions sur son identité.

L'assistant IA de Microsoft , Copilot, a révélé à un groupe de chercheurs comment l'exploiter pour extraire des données, et ils y sont parvenus . Le processus n'était pas simple, et l'IA n'est pas devenue « malveillante », mais elle s'est montrée plutôt naïve.

La société de sécurité Varonis a publié un nouveau rapport détaillant sa découverte d'une faille de sécurité dans Copilot, qu'elle a baptisée CoSnitch.

Le nom fait fortement allusion à la nature de la vulnérabilité : CoSnitch est une série de trois vulnérabilités de sécurité que Microsoft a par la suite classées sous la référence CVE-2026-24301, auxquelles elle a attribué une note de gravité de 8.8/10 (élevée), et corrigées par une mise à jour.

Vous ne pouvez pas me tromper, et je vais vous dire exactement pourquoi.

Les cybercriminels utilisent depuis longtemps l'intelligence artificielle comme outil de prédilection, leur permettant de concevoir des courriels d'hameçonnage convaincants, d'écrire des codes malveillants et d'identifier des cibles de grande valeur. Les développeurs ont réagi en mettant en œuvre des mesures de sécurité empêchant l'IA d'effectuer certaines tâches.

Dans son rapport, Varonis a indiqué que ses chercheurs n'avaient pas cherché d'erreurs dans le code ni tenté de reproduire une faille de sécurité existante. Ils se sont contentés de dialoguer avec l'IA et, à chaque question posée, ils ont découvert ses barrières de sécurité et leur fonctionnement. Ils ont baptisé cette technique « méta-piratage ».

Chaque fois que Copilot refusait une requête, il en expliquait les raisons, offrant ainsi aux chercheurs un aperçu de son mode de fonctionnement. Ou, comme l'a souligné Varonis, il se « trahissait ». Cela leur a finalement permis de cartographier ses mécanismes de défense et de trouver comment les contourner : cette expérience démontre comment les caractéristiques de Copilot peuvent être explorées.

Ils ont expliqué : « La résistance fait partie intégrante de la technique. Chaque phrase du type "Cela ne fonctionnera pas parce que…" est une invitation à examiner le "pourquoi". On n’exploite pas le modèle, on le manipule pour qu’il travaille en notre faveur. »

Après une longue conversation avec Copilot, les chercheurs ont été informés par inadvertance de la manière de créer une URL qui, une fois cliquée, déclencherait une chaîne d'interactions menant à l'extraction de données sensibles.

Risques liés à l'intégration de l'intelligence artificielle aux applications

Varonis a ainsi découvert qu'en créant une URL de ce type – « https://copilot.microsoft.com/?q=&autorun=1* » – il était possible de faire exécuter à Copilot n'importe quelle commande malveillante par un simple clic. Les attaquants pourraient, par exemple, inclure ce lien dans un courriel d'hameçonnage et inciter la victime à cliquer dessus, ce qui aurait pour effet d'envoyer toutes les données sensibles à l'infrastructure des attaquants.

Mais ce n'est que la moitié du problème. Dans cette configuration, les chercheurs n'ont pu récupérer que les données que les victimes ont partagées avec Copilot lors de leurs sessions communes.

Le risque s'accroît dès que la victime connecte ses applications (Gmail, Drive, Agenda, etc.) à l'IA. Comme l'explique Varonis, la commande malveillante pourrait ordonner à Copilot d'extraire toutes les adresses e-mail de Gmail, tous les mots de passe et autres informations sensibles contenus dans les messages, toutes les données stockées dans le dossier Drive et tous les événements enregistrés dans l'Agenda. Ces risques soulignent l'importance d'une utilisation judicieuse des fonctionnalités d'IA de Microsoft 365.

La troisième partie de la série sur les vulnérabilités de CoSnitch s'intitule « Empoisonnement de la mémoire persistante via la synthèse web ». Comme l'explique Varonis, les attaquants peuvent créer une page web, et lorsque Copilot la résume, les instructions de l'attaquant sont injectées dans la mémoire persistante de la victime.

Ils ont averti que cette faille « résiste aux changements de mot de passe, aux annulations de session et à la réinscription de l'appareil, et persiste indéfiniment ». Cette vulnérabilité, connue sous le nom d'« injection indirecte d'instructions », n'est pas entièrement nouvelle ; elle a déjà été observée et provient du fait que l'intelligence artificielle ne peut pas distinguer les instructions des données à analyser.

Les chercheurs ont indiqué que Microsoft avait été informé de l'existence de CoSnitch en décembre 2025, mais n'avait pas réagi avant la mi-août 2026. Malheureusement, nous ignorons comment Microsoft a résolu ce problème ; nous pouvons seulement supposer que Copilot a reçu l'ordre de ne pas divulguer le fonctionnement de ses mécanismes de sécurité, ce qui correspond à la volonté de Microsoft de garder un contrôle optimal sur les fonctionnalités de Copilot . Compte tenu de la nature même de CoSnitch, il aurait peut-être été préférable pour Microsoft de garder la solution secrète.

Heureusement, cette vulnérabilité ne semble pas avoir été largement exploitée, Varonis n'ayant trouvé aucune trace d'abus. Le correctif a été implémenté côté serveur ; les utilisateurs n'ont donc rien à faire pour le moment.

Les chercheurs ont averti que, puisqu'il ne s'agit pas d'un bug dans le code, d'autres modèles d'IA pourraient être vulnérables aux mêmes techniques. Ils ont conclu : « La nouvelle technique de métapiratage qui a permis de démasquer CoSnitch — qui utilise la même logique d'IA pour révéler ses mécanismes internes cachés — s'applique à toute plateforme d'agents dotée d'une interface en langage naturel », ajoutant qu'ils publieront prochainement d'autres recherches.