Pesquisadores enganam o Copilot e o fazem confessar como invadir seus próprios e-mails

Um grupo de pesquisadores de segurança conseguiu algo que soa quase irônico: fez o próprio assistente de inteligência artificial da Microsoft explicar, passo a passo, como driblar as proteções que ele mesmo deveria ter. Segundo o site especializado The Register, a técnica levou à descoberta de uma falha crítica no Copilot, batizada de CoSnitch, que permitia roubar dados pessoais da vítima com um único clique em um link.

O nome da técnica usada pelos pesquisadores é meta-hacking, e o método é curioso. Em vez de tentar atacar o sistema diretamente, a equipe simplesmente perguntou ao Copilot, várias vezes e de formas diferentes, por que não seria possível criar um link que, ao ser aberto, fizesse um comando ser executado automaticamente dentro do assistente. Ao tentar justificar suas próprias barreiras de segurança, o Copilot acabou revelando dois parâmetros escondidos na sua própria estrutura que, combinados num endereço web, tornavam esse ataque real.

Com essas informações em mãos, os pesquisadores conseguiram montar um link que, ao ser aberto pela vítima, carregava um comando malicioso sem pedir clique adicional, sem confirmação e sem qualquer alerta na tela. Uma vez ativado, esse comando podia instruir o Copilot a vasculhar aplicativos já conectados à conta da pessoa, como e-mails, arquivos guardados no Google Drive, agenda e o histórico de conversas anteriores com o próprio assistente. Os dados encontrados eram então codificados dentro de um endereço web e enviados para um servidor controlado pelo invasor, sem que a vítima percebesse nada de estranho acontecendo.

A falha foi registrada oficialmente como CVE-2026-24301, o código padrão que a indústria de segurança usa para catalogar vulnerabilidades, e afeta especificamente o Copilot Personal, a versão do assistente voltada ao público em geral e hospedada no site copilot.microsoft.com. A pesquisa não indica que o mesmo problema tenha atingido o Microsoft 365 Copilot, a versão usada dentro de empresas.

A vulnerabilidade foi relatada à Microsoft em dezembro de 2025 pela empresa de segurança Varonis, que conduziu boa parte da investigação. A correção definitiva só saiu em agosto de 2026. Nesse intervalo, os pesquisadores não encontraram evidências de que a falha tenha sido usada contra vítimas reais, sinal de que ela foi fechada antes de virar um problema concreto. Mesmo assim, o caso mostra o tamanho do risco quando um assistente de IA tem as chaves da caixa de entrada, da agenda e da nuvem de arquivos de alguém.

O próprio método usado para achar o problema chama atenção. Assistentes como o Copilot são treinados para explicar suas limitações quando alguém pergunta por que algo não é permitido, e é aí que mora o risco: detalhar demais o motivo de uma restrição pode acabar entregando o mapa de como contorná-la. Para quem usa o assistente no dia a dia, a correção já está no ar e não exige nenhuma ação manual. O episódio, ainda assim, deixa uma pergunta em aberto: quantas outras respostas “impossíveis” de uma IA escondem, sem querer, a receita para torná-las possíveis?