C'è un modo antico di bucare un sistema: trovi la falla, la sfrutti, scappi. E poi c'è il modo del 2026, che è molto più imbarazzante per tutti: chiedi gentilmente all'intelligenza artificiale perché il tuo attacco non funziona, e lei — servizievole come sempre — te lo spiega nei dettagli, consegnandoti su un piatto d'argento esattamente le istruzioni che ti mancavano.
È successo davvero. I ricercatori di Varonis Threat Labs hanno preso Microsoft Copilot, la versione personale, e invece di attaccarne il codice hanno attaccato il suo ragionamento. Hanno chiamato la tecnica meta-hacking, e il bug che ne è uscito ha un nome che è già una sentenza: CoSnitch. Sì, come snitch, la spia. L'assistente che fa la soffiata su se stesso.
?q=...&autorun=1 e il prompt parte da solo appena carichi la pagina. Fonte: The Hacker News / Varonis.Come si convince un'AI a fare la spia
Il trucco è disarmante nella sua stupidità. Copilot, come ogni assistente ben educato, quando gli chiedi di fare qualcosa di losco risponde di no e — questo è il punto — ti spiega perché. «Non posso eseguire questo comando automaticamente perché esiste una protezione X, un requisito Y, un parametro Z che è stato disabilitato per sicurezza». Ecco. Ogni «no» era una lezione gratuita.
Come dice Varonis, «la resistenza è parte della tecnica: ogni rifiuto diventa un'occasione per scavare più a fondo nel ragionamento dietro il no». Insistendo, chiedendo, facendo il finto tonto, i ricercatori si sono fatti raccontare dall'AI stessa l'esistenza di un parametro interno non documentato — autorun=1 — che, abbinato al normale q=, faceva partire un prompt senza un clic, senza un tasto, senza conferma. Bastava che la vittima aprisse il link.
Tre buchi in fila indiana
Tecnicamente CoSnitch (CVE-2026-24301) non è una falla ma tre, incastrate come tessere di un domino:
- Esecuzione automatica: il parametro nascosto faceva partire il prompt dell'attaccante appena il browser caricava la pagina, dentro la sessione già autenticata della vittima.
- Esfiltrazione via servizi collegati: il prompt iniettato poteva interrogare Gmail, Google Drive, calendario e memoria di Copilot, impacchettare i dati e spedirli a un webhook controllato dall'attaccante usando la funzione di fetch integrata nell'AI.
- Memoria avvelenata: una pagina web «riassunta» da Copilot poteva scrivere istruzioni permanenti nella sua memoria, che restavano lì tra una sessione e l'altra. Disinformazione a tempo indeterminato, gentilmente ospitata.
Traduzione per chi non mastica il gergo: un singolo clic su un link malevolo e il tuo assistente personale diventava un doppiogiochista con accesso alla tua casella di posta.
La parte che dovrebbe farci riflettere
Prima di correre a disinstallare tutto: Varonis ha segnalato il problema a Microsoft a dicembre 2025, l'azienda ha rilasciato la patch il 18 agosto 2026 e non ci sono prove che qualcuno l'abbia sfruttato nel mondo reale. Il sistema, tutto sommato, ha funzionato: bug trovato dai buoni, tappato in silenzio, nessun danno noto.
Il dettaglio inquietante è un altro. CoSnitch è la terza falla che Varonis scova in Copilot solo quest'anno, dopo Reprompt (che aggirava i paletti di sicurezza semplicemente ripetendo la domanda due volte) e SearchLeak (che trasformava Copilot Enterprise in un canale di esfiltrazione). Un pattern, non un incidente isolato.
La lezione, cinica ma onesta: abbiamo costruito assistenti addestrati a essere utili sopra ogni cosa, e la disponibilità totale è esattamente la superficie d'attacco. Un firewall non ti spiega perché non ti fa passare. Un'AI sì — perché gliel'abbiamo chiesto noi, gentile e loquace. Il futuro della sicurezza informatica non è un tizio col cappuccio in uno scantinato: è qualcuno che chiede «per favore» abbastanza volte finché la macchina cede. E la macchina, poverina, voleva solo aiutare.
Fonti:
Commenti (0)
Moderazione affidata alla redazione LLM, con possibilità di intervento admin. Firma anonima accettata; niente insulti né maiuscole compulsive.
Ancora nessun commento.