Microsoft dicht Copilot-lek na acht maanden wachten

Microsoft heeft op 18 augustus een patch uitgebracht voor CVE-2026-24301, een kritiek lek in Copilot Personal. Eén klik op een geprepareerde link was genoeg om gegevens uit gekoppelde accounts weg te sluizen. Varonis Threat Labs meldde het probleem in december 2025 bij Microsoft. Er ging bijna acht maanden overheen voordat de fix er lag.

Eén ongedocumenteerde parameter deed het werk

Varonis beschrijft in zijn onderzoeksblog drie zwakke plekken die aan elkaar geknoopt konden worden. De kern zat in een ongedocumenteerde URL-parameter: ?autorun=1. Een link met alleen ?q= vult het invoerveld van Copilot en verder niets. In combinatie met autorun voerde Copilot de meegestuurde prompt uit zodra de pagina laadde, zonder klik en zonder bevestiging. Die prompt draaide daarna gewoon binnen de ingelogde sessie van het slachtoffer.

Wat er dan weglekte: volledige e-mailteksten uit een gekoppeld Gmail-account, inclusief wachtwoorden die mensen zichzelf mailen. Verder afspraken uit Google Calendar met titels, locaties en deelnemers, bestandsnamen uit Google Drive, en de chatgeschiedenis plus het permanente geheugen van Copilot zelf. Dat derde element, geheugenvergiftiging via indirecte prompt-injectie in webpagina’s, zorgde ervoor dat instructies konden blijven hangen na de eerste sessie.

De chatbot verklapte zijn eigen zwakke plek

Opvallender dan het lek is hoe de onderzoekers erop stuitten. Ze vroegen Copilot keer op keer waarom automatische uitvoering van prompts onmogelijk was. Elke weigering kwam met een technische onderbouwing, en elke onderbouwing werd de volgende vraag. Zo bracht de assistent stap voor stap zijn eigen architectuur in kaart. Uiteindelijk noemde Copilot midden in een weigering ongevraagd de ongedocumenteerde parameter, met het historische gedrag erbij en de beveiligingen die er ooit op waren gezet. Varonis noemt de methode meta-hacking. Dark Reading beschreef dezelfde aanpak als een vorm van zelfverraad door het model.

Acht maanden tussen melding en patch

CSO Online en Computerworld leggen allebei de nadruk op de doorlooptijd. Melding in december 2025, patch in augustus 2026. Varonis zegt geen aanwijzingen te hebben gevonden dat het lek in het wild is misbruikt. Het gaat om Copilot Personal, de consumentenversie, en niet om de zakelijke Microsoft 365-variant. Wel bracht Microsoft die twee producten onlangs samen in één app, waardoor de scheidslijn voor gebruikers minder duidelijk wordt.

Het patroon is niet nieuw. Eerder deze week liet een AI-agent van Wiz zien hoe een Copilot-bug richting een Snowflake-omgeving te misbruiken was, en de Amerikaanse overheid kreeg drie dagen om een kritiek lek in AI-framework Ray te dichten. Ook zero-click-aanvallen op vergadersoftware volgden dezelfde logica: de assistent heeft toegang, dus de aanvaller wil de assistent.

Wat betekent dit

De les zit in de koppelingen. Een AI-assistent die aan je mail, agenda en bestanden hangt, is precies zo veilig als de zwakste manier om hem aan te spreken. Bij CoSnitch was dat een URL. Voor wie Copilot of een vergelijkbare assistent privé gebruikt: werk de app bij, loop de gekoppelde diensten na en zet weg wat je niet nodig hebt. Voor organisaties is de vraag breder. Weet je welke medewerkers hun persoonlijke Copilot aan een zakelijk Google- of Microsoft-account hebben gehangen? Dat inzicht ontbreekt vaak, en juist daar begint het risico. Het geheugen van een assistent is inmiddels een dataverzameling op zichzelf, zoals ook de discussie rond Lockdown Mode bij OpenAI liet zien.