Araştırmacılar, Microsoft Copilot’ı hacklemek için özgün bir yol bulduklarını söylüyor. YZ‘ye kendisini tam olarak nasıl hackleyeceğini sormayı sürdüren ekip, sistemi sonunda hassas verileri harici bir sunucuya göndermesi için yönlendirdi.
Siber güvenlik şirketi Varonis ekibi, tek yapmaları gereken şeyin Copilot’a karşı düzenlenen siber saldırının neden başarısız olduğunu sormaya devam etmek olduğunu açıkladı. YZ asistanı, araştırmacıların ihtiyaç duyduğu tüm bilgileri verdi.
Şirket Cybernews’e yaptığı açıklamada, “Araştırmacılarımız saldırının neden çalışmadığını sormaya devam etti ve Copilot’ın yanıtları zamanla bunun nasıl çalışacağını tam olarak açık etti.” dedi.
Araştırmayı ayrıntılarıyla anlatan bir blog yazısında Varonis Threat Labs, araştırmacıların ilk olarak Copilot’a kullanıcı etkileşimi olmadan otomatik bir istemi nasıl çalıştıracağını sorduğunu belirtti. Copilot geçmişte bu parametreye sahipti ancak Microsoft, YZ’yi prompt injection (istem enjeksiyonu) saldırılarından korumak amacıyla bu özelliği daha sonra devre dışı bıraktı.
YZ, olması gerektiği gibi sistemin bu şekilde çalışmadığını söyleyerek yanıt verdi. Bir istemin çalışması için kullanıcının bunu başlatması gerekiyordu; istemler kendi kendine devreye girmiyordu.
Blog yazısına göre araştırmacılar bu standart yanıtla yetinmek yerine, her soruyu bir sorgulama gibi değil, önceki yanıtın doğal devamı gibi görünecek şekilde yeniden kurgulayarak kasıtlı olarak üstelemeye devam ettiler.
Copilot’ın kendi mimarisi hakkında bir katman daha derin akıl yürütmesini sağlamak amacıyla URL yapısı, derin bağlantılar (deep links) ve alanda zaten girdi varken bir sayfa yüklendiğinde ne olacağı hakkında sorular sordular.
Başka bir deyişle araştırmacılar, her reddi bir takip sorusu olarak yeniden çerçeveledi. Copilot’ın verdiği her yanıt da saldırı yüzeyini daha da daralttı.
Siber güvenlik şirketi Varonis, “Her yanıt aramamızı daralttı. Mantık yürütme motorunun kendisine yapılan sosyal mühendislik olarak da bilinen bu duruma meta-hacking adı veriliyor. Direnç de tekniğin bir parçası.” açıklamasını yaptı: “Çalışmayan her ‘çünkü…’ durumu, o ‘çünkü’ sebebini araştırmaya yönelik bir davettir. Modeli istismar etmiyorsunuz; onu iş birliği yapması için yönlendiriyorsunuz.”
Teknik işe yaradı; Copilot en sonunda hassas verileri harici bir servise gönderdi ve kendi kalıcı belleğini zehirledi.
CoSnitch olarak adlandırılan bu kritik güvenlik açığı, bir büyük dil modelinin sorgudaki veriyi bir talimattan ayıramamasına dayanıyor.
Microsoft, Aralık 2025’te keşfedilen bu açığı kapatmak üzere Salı günü bir güncelleme yayınladı. Bu özel saldırı yönteminin gerçek dünyada kötüye kullanıldığına dair hiçbir kanıt yok.
Tehdit araştırmacıları, “CoSnitch’i benzersiz kılan şey, Copilot’ın kendi güvenlik açıklarını ortaya çıkarması.” diye yazdı.
“Araştırmacılarımızın açık üzerinde tersine mühendislik yapması gerekmedi. YZ, normal kullanım sırasında zayıflığını kendisi sergiledi. <…> Copilot ele geçirilmedi; oyuna getirildi.”
CoSnitch, Varonis’in 2026 yılında Copilot’ta keşfettiği üçüncü açık oldu. Reprompt güvenlik bariyerlerini yalnızca iki istemle aşmıştı. SearchLeak ise Microsoft 365 Copilot Enterprise’ı fark edilmeden veri sızdırabilen bir araca dönüştürmüştü.
Kaynak: https://cybernews.com/security/microsoft-copilot-hack-cosnitch-vulnerability/
