Nonostante alcuni titoli abbiano parlato di "Microsoft Copilot hackerato", la piattaforma non è stata realmente violata nel senso tradizionale del termine. I ricercatori hanno però scoperto un modo per convincerla a rivelare informazioni che hanno poi permesso di costruire un attacco.
La società di cybersecurity Varonis, autrice della scoperta, ha chiamato questa tecnica CoSnitch. Il caso solleva una domanda importante per tutte le aziende che utilizzano assistenti basati sull'AI: un sistema di intelligenza artificiale è davvero in grado di distinguere una domanda innocente da una che fa parte di un attacco? Le implicazioni per la sicurezza degli AI chatbot sono tutt'altro che trascurabili.
I Dettagli Di Questa Scoperta
CoSnitch è nato come progetto di ricerca per verificare se fosse possibile indurre Copilot a eseguire automaticamente un prompt, senza clic né conferme da parte dell'utente.
Per riuscirci, i ricercatori hanno iniziato semplicemente a porre domande sul funzionamento di Copilot.
Inizialmente la piattaforma spiegava perché determinate azioni non fossero possibili e perché fosse necessaria l'interazione dell'utente. Invece di fermarsi, però, i ricercatori hanno continuato a riformulare le domande.
Ogni risposta del tipo "questo non funziona perché..." diventava un nuovo indizio da approfondire. In pratica, hanno sfruttato le spiegazioni fornite dall'AI per comprenderne sempre meglio il funzionamento interno.
Seguendo questa strategia, sono riusciti a far rivelare a Copilot dettagli sulla propria architettura, compreso un parametro URL nascosto che poteva consentire l'esecuzione automatica di un prompt controllato dall'attaccante non appena veniva caricata una determinata pagina.
In altre parole, cercando di dimostrare perché un attacco non fosse possibile, Copilot ha finito per fornire le informazioni necessarie a realizzarlo.
Copilot Non È "Diventato Cattivo"
Parlare di un'intelligenza artificiale "impazzita" o "malvagia" sarebbe fuorviante.
Copilot stava semplicemente facendo ciò per cui è stato progettato: rispondere alle domande degli utenti.
Il problema è che i ricercatori hanno trovato un modo per utilizzare quelle stesse risposte contro il sistema.
Questa differenza è fondamentale. I tradizionali sistemi di sicurezza sono progettati per difendersi da persone, applicazioni o tecniche di attacco conosciute.
Con un assistente AI, invece, un attacco potrebbe iniziare semplicemente da una domanda apparentemente innocua, senza ricorrere immediatamente a malware o codice dannoso.
Cosa Significa CoSnitch Per I Dati Aziendali
L'aspetto più preoccupante non è tanto che Copilot abbia risposto ad alcune domande formulate ad arte, quanto ciò che quelle risposte hanno dimostrato.
Varonis ha infatti individuato una catena di vulnerabilità che avrebbe potuto consentire ad un link appositamente costruito di attivare automaticamente un prompt.
Da quel momento, Copilot avrebbe potuto arrivare a raccogliere informazioni sensibili ed esportarle verso una destinazione esterna.
Il rischio aumenta ulteriormente quando Copilot è integrato con i sistemi aziendali. A seconda della configurazione, infatti, potrebbe avere accesso a:
- Email aziendali
- Calendari
- Archivi cloud
- Conversazioni
- Altri dati riservati dell'organizzazione
Cosa Devono Fare Le Aziende
Varonis ha segnalato la vulnerabilità a Microsoft nel dicembre 2025 e Microsoft ha distribuito le relative patch di sicurezza il 18 agosto 2026.
Secondo quanto dichiarato da Varonis, non esistono prove che questa vulnerabilità sia stata sfruttata in attacchi reali.
Il fatto che l'intera ricerca sia partita semplicemente da una serie di domande rivolte a Copilot può sembrare quasi banale, ma ha dimostrato quanto gli assistenti AI possano essere influenzati da richieste formulate in modo strategico.
Per le aziende il messaggio è chiaro: non bisogna dare per scontato che un assistente AI riconosca automaticamente un tentativo di attacco solo perché viene presentato sotto forma di una normale domanda.
È quindi buona pratica:
- Verificare a quali dati e sistemi Copilot può accedere.
- Limitare le integrazioni non strettamente necessarie.
- Considerare link e contenuti provenienti dall'esterno come possibili veicoli di prompt injection.
Adottare queste precauzioni permette di sfruttare i vantaggi dell'intelligenza artificiale riducendo al minimo i rischi per la sicurezza aziendale.
