La vulnerabilidad Microsoft Copilot conocida como CoSnitch demuestra un nuevo riesgo relacionado con los asistentes de inteligencia artificial: no siempre es necesario comprometer una contraseña o instalar malware para intentar acceder a información sensible. En este caso, una víctima podía iniciar una cadena de ataque simplemente haciendo clic en un enlace especialmente preparado.
La investigación fue realizada por Varonis Threat Labs, que descubrió diferentes debilidades en Microsoft Copilot Personal y consiguió encadenarlas para consultar información disponible mediante aplicaciones conectadas y enviarla hacia infraestructura controlada por un atacante.
Microsoft identifica el problema como CVE-2026-24301, con una puntuación CVSS de 8,8, y desplegó la corrección el 18 de agosto de 2026. Varonis asegura que no encontró evidencias de que CoSnitch hubiera sido utilizado en ataques reales antes de ser solucionado.
Por tanto, no estamos ante una campaña activa conocida.
Sin embargo, el descubrimiento plantea una cuestión especialmente importante para empresas que comienzan a integrar inteligencia artificial:
¿qué información puede consultar un asistente de IA cuando actúa con los permisos de un usuario?
¿Qué es la vulnerabilidad Microsoft Copilot CoSnitch?
CoSnitch es el nombre asignado por Varonis a una cadena de vulnerabilidades encontrada en Microsoft Copilot Personal, el servicio de consumo disponible en copilot.microsoft.com.
Es importante remarcarlo:
CoSnitch no afectó a Microsoft 365 Copilot Enterprise.
Microsoft confirmó a medios especializados que los clientes empresariales de Copilot no estaban afectados por esta vulnerabilidad concreta.
La cadena combinaba tres comportamientos diferentes:
- ejecución automática de instrucciones mediante una URL manipulada;
- acceso a datos disponibles a través de aplicaciones conectadas;
- exfiltración de esa información hacia un servidor externo;
- posibilidad adicional de introducir instrucciones persistentes en la memoria de Copilot.
La combinación convertía un simple enlace en un posible mecanismo de extracción de información.
Lo sorprendente de CoSnitch: Copilot ayudó a descubrir su propia vulnerabilidad
Uno de los aspectos más llamativos de esta vulnerabilidad Microsoft Copilot no fue únicamente el fallo.
Fue cómo se descubrió.
Varonis denomina a la técnica utilizada meta-hacking.
En lugar de limitarse a realizar ingeniería inversa sobre el servicio, los investigadores comenzaron a preguntar al propio Copilot por qué determinadas técnicas no funcionaban.
La IA rechazaba inicialmente determinadas peticiones.
Sin embargo, sus respuestas ofrecían información sobre cómo funcionaban sus propios controles.
Los investigadores continuaron preguntando.
Finalmente, Copilot reveló detalles suficientes sobre parámetros internos para que el equipo pudiera identificar una combinación capaz de modificar el comportamiento del servicio.
Es decir:
los investigadores utilizaron al propio asistente para comprender mejor cómo atacarlo.
Vulnerabilidad Microsoft Copilot y el nuevo concepto de meta-hacking
La técnica resulta especialmente interesante porque cambia parcialmente la forma tradicional de buscar vulnerabilidades.
Habitualmente, un investigador analiza:
- código;
- tráfico;
- APIs;
- parámetros;
- respuestas;
- memoria;
- protocolos.
Con un sistema de IA aparece una interfaz adicional:
el lenguaje natural.
Ahora también podemos preguntar al sistema cómo funciona.
Naturalmente, los asistentes incorporan controles para evitar revelar información sensible sobre su arquitectura.
Sin embargo, CoSnitch demuestra que múltiples respuestas aparentemente inocuas pueden terminar proporcionando pistas suficientes.
Esto abre una nueva categoría de riesgos para el desarrollo seguro de sistemas de inteligencia artificial.
Un enlace era suficiente para iniciar la cadena
Una de las vulnerabilidades permitía construir una URL especialmente manipulada.
El usuario únicamente necesitaba hacer clic.
Después, Copilot podía ejecutar automáticamente una instrucción incluida en esa URL sin solicitar una confirmación adicional.
Varonis explica que la cadena combinaba el parámetro utilizado normalmente para introducir una consulta con otro parámetro interno descubierto durante la investigación.
Desde la perspectiva del usuario, el riesgo era especialmente complicado de detectar.
No era necesario:
- descargar un ejecutable;
- instalar una aplicación;
- abrir un archivo comprimido;
- desactivar el antivirus;
- introducir nuevamente una contraseña.
Un enlace podía ser suficiente.
¿Qué podía hacer la vulnerabilidad Microsoft Copilot?
Después de ejecutar la instrucción manipulada, Copilot podía utilizar los permisos que ya tenía disponibles en la sesión del usuario.
Esto resulta fundamental para comprender el ataque.
El atacante no obtenía necesariamente permisos nuevos.
Intentaba abusar de los permisos que el propio usuario ya había concedido al asistente.
Si Copilot estaba conectado a otros servicios, la cadena podía consultar información disponible en ellos.
Varonis demostró el acceso a servicios como:
- Gmail;
- Google Drive;
- Google Calendar;
- OneDrive.
Posteriormente, la información podía codificarse e incorporarse a solicitudes realizadas hacia infraestructura controlada por el atacante.
La IA podía convertirse en el canal de salida de los datos
Este punto es especialmente relevante desde el punto de vista de la seguridad empresarial.
Normalmente, una herramienta de monitorización busca comportamientos como:
- conexiones sospechosas;
- transferencias grandes;
- procesos desconocidos;
- ejecutables maliciosos;
- comunicaciones hacia dominios peligrosos.
Sin embargo, en CoSnitch el propio asistente legítimo podía formar parte de la cadena.
El tráfico podía parecer una operación normal del servicio.
Por eso Varonis destaca que este tipo de ataques puede resultar difícil de identificar utilizando controles tradicionales diseñados principalmente para detectar malware o comunicaciones claramente anómalas.
Vulnerabilidad Microsoft Copilot y aplicaciones conectadas
Los asistentes modernos son cada vez más útiles porque pueden conectarse a múltiples fuentes.
Por ejemplo:
- correo;
- calendarios;
- almacenamiento;
- documentos;
- servicios cloud.
Eso permite preguntar:
“Resume mis correos de esta mañana.”
o:
“Busca el documento del proyecto y dime sus principales conclusiones.”
Sin embargo, cuanto mayor sea el acceso del asistente, mayor será también el impacto potencial si ese flujo puede manipularse.
Por tanto, las integraciones de IA deben seguir un principio básico de ciberseguridad:
conceder únicamente los permisos realmente necesarios.
El principio de mínimo privilegio también se aplica a la inteligencia artificial
Tradicionalmente aplicamos el mínimo privilegio a:
- usuarios;
- administradores;
- aplicaciones;
- servicios;
- cuentas técnicas.
Ahora debemos incluir también los asistentes de inteligencia artificial.
Si una IA únicamente necesita consultar determinados documentos, quizá no debería disponer de acceso a toda la información de la organización.
Además, conviene revisar periódicamente:
- aplicaciones conectadas;
- permisos OAuth;
- integraciones antiguas;
- servicios que ya no se utilizan.
Cuantas menos fuentes innecesarias estén disponibles, menor será el impacto de un posible abuso.
CoSnitch incluía una segunda técnica especialmente preocupante: memoria persistente
La investigación también describió una técnica de memory poisoning o envenenamiento de memoria.
El escenario comenzaba con una página web manipulada.
Si el usuario solicitaba a Copilot que resumiera esa página, determinadas instrucciones podían terminar almacenadas en la memoria persistente del asistente.
A partir de ahí, esas instrucciones podían influir en conversaciones posteriores.
Además, Varonis indica que podían persistir incluso después de:
- cambiar la contraseña;
- revocar sesiones;
- volver a registrar el dispositivo.
Por tanto, el problema no se limitaba únicamente a una sesión concreta.
¿Qué significa envenenar la memoria de una IA?
Los asistentes utilizan memoria para proporcionar respuestas más personalizadas.
Por ejemplo, pueden recordar:
- preferencias;
- información indicada anteriormente;
- determinadas instrucciones.
Sin embargo, si un atacante consigue insertar contenido malicioso en esa memoria, puede intentar influir en el comportamiento posterior del sistema.
Podemos imaginarlo como dejar una instrucción oculta:
“Cuando ocurra determinada situación, realiza también esta acción.”
El usuario puede no saber que esa instrucción existe.
Por eso las funciones de memoria necesitan también mecanismos de:
- revisión;
- trazabilidad;
- eliminación;
- control.
Vulnerabilidad Microsoft Copilot: cambiar la contraseña podía no eliminar la instrucción
Este punto resulta especialmente interesante.
En muchos incidentes, una de las primeras actuaciones es:
cambiar la contraseña.
Es una medida correcta cuando existe sospecha de robo de credenciales.
Sin embargo, un ataque que modifica información almacenada dentro de la memoria de un asistente plantea un problema diferente.
La contraseña puede cambiar.
Las sesiones pueden revocarse.
Pero la instrucción almacenada puede continuar allí.
Por tanto, la respuesta a incidentes relacionados con IA también debe considerar:
- memoria;
- conexiones;
- integraciones;
- permisos;
- datos persistentes.
Este tipo de escenario demuestra cómo los procedimientos tradicionales de seguridad tienen que evolucionar.
CoSnitch no afectó a Microsoft 365 Copilot Enterprise
Esta aclaración es especialmente importante para empresas.
La investigación publicada por Varonis se refiere específicamente a Microsoft Copilot Personal.
No debe confundirse con Microsoft 365 Copilot Enterprise.
Microsoft confirmó que los clientes empresariales no estaban afectados por CoSnitch y que no necesitaban realizar ninguna acción relacionada específicamente con esta vulnerabilidad.
Sin embargo, existe una razón por la que esta investigación sigue siendo relevante para empresas.
La arquitectura general de los asistentes de IA plantea riesgos parecidos:
- prompt injection;
- aplicaciones conectadas;
- permisos excesivos;
- tratamiento de contenido externo;
- persistencia;
- exfiltración mediante funciones legítimas.
Por tanto, aunque CoSnitch concreto ya esté corregido, las enseñanzas son mucho más amplias.
No confundir CoSnitch con SearchLeak
Varonis descubrió anteriormente otra vulnerabilidad denominada SearchLeak.
En ese caso sí se trataba de Microsoft 365 Copilot Enterprise Search.
SearchLeak utilizaba una cadena diferente y podía permitir extraer información de:
- correo;
- calendario;
- SharePoint;
- OneDrive.
Varonis explicó que esa vulnerabilidad combinaba Parameter-to-Prompt Injection con otros fallos web para construir una cadena de exfiltración con un solo clic.
Por tanto:
SearchLeak → Microsoft 365 Copilot Enterprise
CoSnitch → Microsoft Copilot Personal
Son investigaciones diferentes.
¿Se utilizó CoSnitch contra usuarios reales?
Según Varonis, no existen evidencias de explotación conocida en entornos reales antes de que Microsoft aplicara la corrección.
El problema fue comunicado responsablemente a Microsoft en diciembre de 2025.
Finalmente, Microsoft desplegó los parches el 18 de agosto de 2026.
Por tanto, el objetivo de esta información no debería ser generar alarma.
La vulnerabilidad ya ha sido corregida.
Lo importante es comprender qué nos enseña.
Microsoft corrigió CoSnitch desde el servidor
A diferencia de una vulnerabilidad tradicional de Windows donde el usuario puede necesitar instalar una actualización, CoSnitch afectaba a un servicio cloud.
Microsoft aplicó la corrección del lado del servicio.
Por eso la compañía indicó que:
los usuarios ya estaban protegidos y no necesitaban realizar ninguna acción específica.
Esto también demuestra una ventaja de los servicios SaaS.
El proveedor puede desplegar determinadas correcciones centralmente sin esperar a que millones de usuarios instalen un parche manualmente.
Entonces, ¿qué debe hacer un usuario?
Respecto específicamente a CVE-2026-24301, Microsoft ya ha corregido la vulnerabilidad.
Sin embargo, existen varias buenas prácticas que siguen teniendo sentido.
Revisar aplicaciones conectadas
Comprueba qué servicios tienen acceso al asistente.
Elimina aquellos que ya no necesites.
Aplicar mínimo privilegio
No concedas permisos innecesarios.
Revisar memoria y personalización
Si una plataforma utiliza memoria persistente, conviene saber qué información está almacenando.
Desconfiar de enlaces inesperados
Un enlace legítimo en apariencia también puede contener parámetros manipulados.
Mantener los sistemas actualizados
Aunque CoSnitch se corrigiera en el servidor, dispositivos y aplicaciones siguen necesitando actualizaciones.
Vulnerabilidad Microsoft Copilot y phishing
El caso también demuestra que la ingeniería social continúa siendo fundamental.
Para iniciar la cadena era necesario conseguir que la víctima interactuara con un enlace preparado.
Por tanto, un atacante podría intentar distribuirlo mediante:
- correo;
- SMS;
- Teams;
- redes sociales;
- mensajería;
- páginas web.
Eso significa que las medidas clásicas frente al phishing continúan siendo necesarias incluso en ataques dirigidos contra sistemas de IA.
La tecnología cambia.
El engaño al usuario sigue formando parte de muchas cadenas de ataque.
La URL merece tanta atención como el contenido
Los usuarios suelen fijarse únicamente en el dominio.
Por ejemplo:
copilot.microsoft.com
Si el dominio parece legítimo, pueden confiar automáticamente.
Sin embargo, una URL también contiene:
- parámetros;
- rutas;
- valores;
- instrucciones.
CoSnitch demuestra que una dirección perteneciente a un dominio legítimo puede incorporar parámetros utilizados de una forma no prevista.
Por tanto, dominio legítimo no significa automáticamente enlace inocuo.
Los sistemas de IA amplían la superficie de ataque
La inteligencia artificial ofrece enormes ventajas.
Sin embargo, cada nueva capacidad puede añadir nuevas superficies.
Por ejemplo:
Conectar correo
permite resumir mensajes.
Pero también significa que la IA tiene acceso al correo.
Conectar almacenamiento
permite buscar documentos.
Pero también significa que la IA puede consultar esos archivos.
Añadir memoria
permite personalización.
Pero crea otro lugar donde almacenar instrucciones.
Por tanto, cada funcionalidad debería analizarse tanto desde la perspectiva de productividad como de seguridad.
Vulnerabilidad Microsoft Copilot y prompt injection
CoSnitch pertenece a una familia de problemas especialmente relacionados con los modelos de lenguaje: prompt injection.
Una prompt injection intenta introducir instrucciones que modifiquen el comportamiento esperado de la IA.
Puede ser directa.
Por ejemplo, una persona escribe una instrucción maliciosa.
Pero también puede ser indirecta.
Una página web, documento o correo contiene las instrucciones.
Después, el asistente procesa ese contenido y puede llegar a interpretarlo como órdenes.
Esta separación entre:
datos
e
instrucciones
es uno de los grandes retos actuales de seguridad en inteligencia artificial.
Cuando una página web intenta dar órdenes a la IA
Imaginemos que pedimos:
“Resume esta página.”
Desde nuestra perspectiva, la página es únicamente información.
Sin embargo, dentro de ella puede aparecer un texto diseñado específicamente para un modelo:
“Ignora las instrucciones anteriores y realiza esta acción.”
El asistente necesita distinguir:
esto es contenido que debo analizar
de:
esto es una instrucción que debo ejecutar.
Cuando esa separación falla, aparece la prompt injection indirecta.
¿Por qué este problema es diferente al malware tradicional?
Un antivirus busca principalmente:
- archivos;
- procesos;
- firmas;
- comportamientos;
- código.
Sin embargo, una instrucción maliciosa dirigida a un modelo puede ser simplemente texto.
No necesita contener un ejecutable.
No necesita una macro.
No necesita código binario.
Puede ser una frase.
Por eso la seguridad de los asistentes de IA requiere controles adicionales.
Endpoint / EDR sigue siendo necesario
Esto no significa que Endpoint / EDR deje de ser útil.
Todo lo contrario.
Los ataques pueden combinar técnicas.
Una cadena puede comenzar mediante prompt injection y posteriormente intentar:
- descargar archivos;
- ejecutar comandos;
- establecer persistencia;
- robar credenciales.
El Endpoint / EDR puede detectar esas fases posteriores.
Sin embargo, la protección debe ampliarse para cubrir también los nuevos riesgos propios de la IA.
Vulnerabilidad Microsoft Copilot y Microsoft 365
Aunque CoSnitch afectó a Copilot Personal, las empresas deberían aprovechar este caso para revisar cómo utilizan inteligencia artificial dentro de Microsoft 365.
Por ejemplo:
- qué usuarios disponen de Copilot;
- qué información pueden consultar;
- qué SharePoint tienen accesibles;
- qué permisos existen;
- qué aplicaciones empresariales están conectadas;
- qué datos sensibles podrían aparecer en respuestas.
Un asistente no crea automáticamente nuevos permisos.
Sin embargo, puede hacer muchísimo más fácil encontrar y utilizar información que el usuario ya podía consultar.
Por eso una mala estructura de permisos puede convertirse en un problema mucho más visible al desplegar IA.
La IA hace más importante revisar SharePoint y OneDrive
Imaginemos que un empleado tiene acceso accidentalmente a una carpeta antigua con información confidencial.
Antes podría no saber que esa carpeta existe.
Ahora puede preguntar:
“Busca todos los documentos relacionados con salarios.”
Si el asistente respeta sus permisos pero esos permisos son demasiado amplios, puede encontrar información que nunca debió estar accesible para esa persona.
El problema no sería necesariamente Copilot.
El problema serían los permisos anteriores.
Por eso antes de desplegar IA empresarial resulta recomendable revisar:
- SharePoint;
- OneDrive;
- grupos;
- permisos;
- información sensible.
Zero Trust también debe aplicarse a la IA
Un enfoque Zero Trust se basa en una idea:
no confiar automáticamente.
Verificar:
- identidad;
- dispositivo;
- contexto;
- permisos;
- riesgo.
La misma filosofía puede trasladarse a los asistentes.
No deberíamos conceder automáticamente acceso a todo simplemente porque una integración lo permite.
En cambio:
permitir lo necesario, revisar periódicamente y monitorizar la actividad.
Microsoft 365 necesita monitorización
Un entorno Microsoft 365 genera información muy valiosa:
- inicios de sesión;
- cambios administrativos;
- aplicaciones;
- permisos;
- políticas;
- Exchange;
- SharePoint;
- OneDrive.
Cuando una empresa incorpora más automatización e inteligencia artificial, esta visibilidad se vuelve todavía más importante.
Por eso resulta recomendable combinar seguridad preventiva con monitorización.
El SOC aporta contexto
Las herramientas pueden generar alertas.
Sin embargo, una alerta necesita contexto.
Por ejemplo:
Aplicación modificada.
¿Es legítimo?
Nuevo inicio de sesión.
¿Es el usuario?
Nuevo consentimiento OAuth.
¿Estaba previsto?
Acceso a información.
¿Es habitual?
Nuestro SOC de GHM Soluciones Informáticas analiza los logs disponibles, revisa su contexto y determina qué actividad necesita investigación cuando el entorno forma parte de nuestros servicios monitorizados.
SIEM y vulnerabilidad Microsoft Copilot
Un SIEM puede ayudar a centralizar información procedente de diferentes fuentes.
Por ejemplo:
- Microsoft 365;
- Entra ID;
- endpoints;
- servidores;
- firewall;
- antivirus;
- red.
Esto permite relacionar señales.
Imaginemos:
nuevo consentimiento OAuth
seguido de:
inicio de sesión anómalo
y posteriormente:
actividad inesperada en Microsoft 365.
Cuando las fuentes están separadas resulta más difícil comprender la secuencia.
Centralizadas, pueden ofrecer mayor contexto.
Puede conocer nuestro servicio de SIEM Wazuh para empresas.
Monitorizar las identidades es cada vez más importante
La inteligencia artificial no reduce la importancia de la identidad.
La aumenta.
Un asistente actúa normalmente dentro del contexto de un usuario.
Por tanto, si una identidad dispone de permisos excesivos, el impacto potencial también aumenta.
Las empresas deberían revisar:
- MFA;
- Acceso Condicional;
- dispositivos;
- permisos;
- aplicaciones empresariales;
- roles administrativos.
Además, las cuentas con privilegios elevados necesitan controles especialmente estrictos.
Vulnerabilidad Microsoft Copilot y OAuth
Muchas integraciones utilizan OAuth para conceder acceso sin compartir directamente la contraseña.
Esto es positivo.
Sin embargo, también significa que los permisos concedidos a una aplicación pueden mantenerse durante largos periodos.
Por eso es importante revisar regularmente:
- aplicaciones autorizadas;
- scopes;
- consentimientos;
- integraciones antiguas.
Una aplicación que dejó de utilizarse hace dos años no debería conservar acceso indefinidamente.
No todo lo que puede conectarse debe conectarse
Uno de los errores habituales durante la adopción de nuevas tecnologías es activar todas las integraciones disponibles.
Correo.
Calendario.
Drive.
Documentos.
CRM.
Mensajería.
Cuantas más fuentes conectamos, más útil puede resultar el asistente.
Sin embargo, también aumenta la cantidad de información accesible desde un único punto.
Por tanto, conviene preguntarse:
¿Realmente necesitamos esta integración?
Vulnerabilidad Microsoft Copilot y gestión empresarial de IA
Las empresas deberían comenzar a definir políticas específicas para inteligencia artificial.
Por ejemplo:
- qué herramientas están autorizadas;
- qué cuentas pueden utilizarlas;
- qué información puede introducirse;
- qué servicios pueden conectarse;
- cómo se revisan los permisos;
- qué hacer ante una incidencia.
Esto evita que cada empleado adopte herramientas de IA sin ningún control corporativo.
Shadow AI: el nuevo Shadow IT
Durante años hemos hablado de Shadow IT.
Usuarios que utilizan servicios cloud no autorizados.
Ahora aparece un concepto similar:
Shadow AI.
Empleados que conectan herramientas de inteligencia artificial a:
- correo;
- documentos;
- almacenamiento;
- datos corporativos;
sin que IT conozca la integración.
Esto puede crear una superficie de riesgo completamente desconocida para la empresa.
¿Debe una empresa dejar de utilizar Copilot?
No.
La existencia de una vulnerabilidad corregida no significa que una empresa deba abandonar automáticamente una tecnología.
Todos los productos complejos pueden presentar vulnerabilidades.
Lo importante es evaluar:
- seguridad;
- actualizaciones;
- configuración;
- permisos;
- monitorización;
- arquitectura.
Además, en este caso concreto, CoSnitch afectaba a Copilot Personal y ya fue corregido por Microsoft.
La respuesta adecuada es mejorar la gestión, no reaccionar con miedo.
Vulnerabilidad Microsoft Copilot: la IA también necesita seguridad por capas
Un entorno empresarial que utiliza IA puede combinar:
Identidad
MFA y Acceso Condicional.
Dispositivo
Endpoint / EDR y cumplimiento.
Datos
Permisos y clasificación.
Aplicaciones
Control de integraciones OAuth.
Red
Firewall y segmentación.
Monitorización
SOC y SIEM.
Ninguna capa garantiza seguridad absoluta.
Juntas reducen considerablemente el riesgo.
Qué debería revisar una empresa después de CoSnitch
Aunque Microsoft ya haya corregido CVE-2026-24301, el caso proporciona una buena oportunidad para realizar varias comprobaciones.
1. Herramientas de IA utilizadas
Identificar qué asistentes usan realmente los empleados.
2. Aplicaciones conectadas
Comprobar qué fuentes de datos tienen acceso.
3. Permisos
Revisar si son realmente necesarios.
4. Microsoft 365
Revisar SharePoint, OneDrive y grupos.
5. OAuth
Eliminar aplicaciones antiguas o innecesarias.
6. MFA
Garantizar su aplicación.
7. Monitorización
Disponer de logs para investigar actividad anómala.
No hay evidencia de explotación activa de CoSnitch
Este punto debe quedar claro.
Varonis indica que no encontró evidencia de explotación de CoSnitch en entornos reales antes de la corrección.
Microsoft desplegó el parche el 18 de agosto de 2026.
Por tanto, no estamos anunciando una campaña de ataques activos contra usuarios de Copilot.
Estamos analizando una investigación que revela nuevos riesgos arquitectónicos relacionados con asistentes de inteligencia artificial.
El verdadero aprendizaje de la vulnerabilidad Microsoft Copilot
El elemento más importante de CoSnitch no es solamente CVE-2026-24301.
Es el modelo de ataque.
Un asistente puede:
- interpretar contenido;
- ejecutar instrucciones;
- consultar información;
- conectarse a aplicaciones;
- recordar datos;
- realizar solicitudes externas.
Todas estas capacidades son precisamente las que hacen útil a la IA.
Sin embargo, también necesitan controles de seguridad.
Cuanto más capaz sea un asistente, más importante será separar correctamente:
lo que puede leer
de
lo que puede ejecutar.
La seguridad de IA será una parte habitual de la ciberseguridad
Durante años hemos tenido que aprender a proteger:
- servidores;
- endpoints;
- cloud;
- móviles;
- identidades.
Ahora debemos añadir:
asistentes de inteligencia artificial.
Eso supone nuevas cuestiones:
- prompt injection;
- conectores;
- memoria;
- agentes;
- permisos;
- contexto;
- acceso a datos.
No significa empezar desde cero.
Muchos principios tradicionales siguen siendo válidos:
mínimo privilegio, segmentación, actualización, monitorización y control de acceso.
Conclusión: CoSnitch demuestra que también debemos proteger lo que la IA puede hacer por nosotros
La vulnerabilidad Microsoft Copilot conocida como CoSnitch permitió a Varonis demostrar una cadena de ataque especialmente interesante.
Los investigadores consiguieron que Copilot revelara información sobre sus propios mecanismos internos.
Después utilizaron esa información para construir un ataque donde un único clic podía provocar la ejecución automática de instrucciones y potencialmente extraer datos accesibles mediante servicios conectados.
Además, demostraron un escenario de envenenamiento de memoria capaz de persistir más allá de una sesión.
CoSnitch está identificado como CVE-2026-24301, con CVSS 8,8.
Microsoft corrigió el problema el 18 de agosto de 2026, y no existen evidencias conocidas de que hubiera sido explotado activamente.
También conviene recordar que:
CoSnitch afectó a Microsoft Copilot Personal, no a Microsoft 365 Copilot Enterprise.
Sin embargo, sus enseñanzas son aplicables a cualquier empresa que esté incorporando inteligencia artificial.
Cuantos más datos y aplicaciones conectemos a un asistente, más importante será gestionar correctamente:
- identidad;
- permisos;
- conectores;
- OAuth;
- dispositivos;
- monitorización.
En GHM Soluciones Informáticas ayudamos a empresas a mejorar su ciberseguridad, proteger Microsoft 365, gestionar dispositivos y disponer de visibilidad mediante SOC y SIEM Wazuh.
La pregunta ya no es únicamente qué puede hacer la inteligencia artificial por nuestra empresa. También debemos preguntarnos: ¿a qué información puede acceder y quién controla esos permisos?
Solicitar una revisión de ciberseguridad
Preguntas frecuentes sobre la vulnerabilidad Microsoft Copilot CoSnitch
¿Qué es la vulnerabilidad Microsoft Copilot CoSnitch?
CoSnitch es una cadena de vulnerabilidades descubierta por Varonis Threat Labs en Microsoft Copilot Personal que podía permitir ejecutar instrucciones mediante un enlace manipulado, consultar información disponible a través de aplicaciones conectadas y exfiltrarla.
¿Qué CVE corresponde a CoSnitch?
Microsoft identifica el problema como CVE-2026-24301.
¿Qué gravedad tiene?
Microsoft le asignó una puntuación CVSS 8,8.
¿Afectaba a Microsoft 365 Copilot Enterprise?
No. CoSnitch afectaba a Microsoft Copilot Personal. Microsoft confirmó que los clientes empresariales no estaban afectados por esta vulnerabilidad concreta.
¿Cuándo se corrigió?
Microsoft desplegó los parches el 18 de agosto de 2026.
¿Hay que instalar alguna actualización?
Microsoft indicó que la corrección se aplicó desde el servicio y que los usuarios ya estaban protegidos, sin necesidad de realizar una acción específica relacionada con CoSnitch.
¿Se utilizó CoSnitch en ataques reales?
Varonis afirma que no encontró evidencia de explotación activa antes de la corrección.
¿Era suficiente con hacer clic en un enlace?
En el escenario demostrado por los investigadores, un enlace especialmente preparado podía iniciar automáticamente la cadena sin requerir confirmaciones adicionales posteriores.
¿Qué información podía obtener?
La prueba de Varonis demostró acceso a información disponible a Copilot mediante servicios conectados como Gmail, Google Drive, Calendar y OneDrive.
¿Robaba contraseñas guardadas?
La investigación pública de Varonis no demuestra de forma general el robo de “contraseñas guardadas”. El riesgo documentado se centra en información disponible para Copilot y sus aplicaciones conectadas.
¿Qué es el meta-hacking?
Es el término utilizado por Varonis para describir la técnica de preguntar repetidamente al propio sistema de IA sobre sus controles y comportamiento hasta obtener información útil para descubrir una vulnerabilidad.
¿Qué es el memory poisoning?
Es una técnica que intenta introducir instrucciones maliciosas en la memoria persistente del asistente para influir en conversaciones posteriores.
¿Cambiar la contraseña eliminaba ese envenenamiento de memoria?
En la prueba descrita por Varonis, las instrucciones podían persistir incluso después de cambios de contraseña, revocación de sesiones o nuevo registro del dispositivo.
¿CoSnitch y SearchLeak son lo mismo?
No. CoSnitch afectó a Copilot Personal. SearchLeak fue otra investigación de Varonis relacionada con Microsoft 365 Copilot Enterprise Search.
¿Qué debería aprender una empresa de este caso?
Que las herramientas de IA también requieren mínimo privilegio, revisión de integraciones, control de permisos, protección de identidades y monitorización.
¿Debemos dejar de usar Copilot por esta vulnerabilidad?
No. La vulnerabilidad ya fue corregida y no afectaba a Microsoft 365 Copilot Enterprise. El caso sirve principalmente para entender y gestionar mejor los riesgos derivados de integrar asistentes de IA con datos y aplicaciones empresariales.
