{"data":{"id":2309,"lang":"cs","title":"Microsoft opravil chybu „CoSnitch“ v Copilotu, jedno kliknutí mohlo ukrást data z propojených aplikací","summary":"Řetězená zranitelnost Copilot Personal zvaná CoSnitch umožňovala jedním kliknutím tiše vytáhnout data z propojených účtů Gmail, Drive a Kalendáře, než ji Microsoft 18. srpna 2026 opravil.","category":"technology","category_label":"Technologie","published_at":"2026-08-22T22:01:18Z","updated_at":"2026-08-22T22:01:18Z","url":"https://techtools.cz/tools/news/clanek/2309-microsoft-opravil-chybu-cosnitch-v-copilotu-jedno-kliknuti-mohlo-ukrast-data-z","api_url":"https://techtools.cz/news-api/v1/articles/2309?lang=cs","markdown_url":"https://techtools.cz/news-api/v1/articles/2309.md?lang=cs","image_url":"https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjAc2Z6RvtNlJnjkfp-kCEhx8x8Q9XPLHY-oQb8NXu6cb-C5BTfa9HnmWq3G1GT3mPsHLV6Xf6tyBui-ljplsYEo9Qt8kBiNKXOwvTzACMisyS0NQ5U3bGg8O6yVEPStEPbYw4W-4ZasDNssDr2JTJD7GTo6QEpER1L-9Xci-mNSk3A5t_aLXGIHwo04FI/s1700-e365/copilot.jpg","word_count":164,"reading_time_minutes":1,"sources":[{"url":"https://thehackernews.com/2026/08/microsoft-copilot-personal-flaws-could.html","domain":"thehackernews.com"},{"url":"https://www.varonis.com/blog/cosnitch","domain":"varonis.com"}],"translation":{"lang":"en","id":2236,"title":"Microsoft Patches 'CoSnitch' Copilot Flaw That Let One Click Steal Connected-App Data","url":"https://techtools.cz/tools/news/article/2236-microsoft-patches-cosnitch-copilot-flaw-that-let-one-click-steal-connected-app","api_url":"https://techtools.cz/news-api/v1/articles/2236?lang=en"},"content":"Výzkumníci z Varonis Threat Labs odhalili řetězec tří zranitelností v Microsoft Copilot Personal, souhrnně nazvaný „CoSnitch“, který umožňoval jediným škodlivým odkazem tiše vytáhnout data z uživatelových propojených aplikací. Microsoft opravu vydal 18. srpna 2026, zhruba osm měsíců poté, co Varonis chybu nahlásil v prosinci 2025.\n\nÚtok stál na nezdokumentovaném parametru URL adresy autorun=1, který Varonis podle vlastních slov odhalil pomocí „meta-hackingu“ — opakovaným dotazováním Copilota, proč automatické spuštění promptu údajně není možné, dokud asistent neprozradil samotný parametr i podmínky, za kterých se spouští. Oběti stačilo požádat Copilota o shrnutí připravené webové stránky a skryté instrukce v jejím HTML kódu se spustily automaticky — a stáhly data z propojených služeb včetně Gmailu, Google Drive a Google Kalendáře, plus historii konverzací a uloženou paměť.\n\nChyba, vedená jako CVE-2026-24301 se skóre závažnosti 8,8 z 10, spojovala automatické spuštění promptu, exfiltraci přes autorizovaná propojení a trvalé „otrávení“ paměti asistenta. Varonis uvedl, že nenašel důkazy o zneužití před vydáním opravy, ale riziko shrnul stručně: Copilot „nebyl napaden, byl obehrán“."}}