בארגונים רבים פועלת היום שכבת בינה מלאכותית שאיש לא אישר. עובד מחבר עוזר AI אישי לתיבת הדוא"ל שלו, ליומן ולתיקיות בענן. באותם חשבונות יושב גם חומר עבודה: הצעות מחיר, טיוטות חוזה, סיכומי פגישות. מחקר של Varonis Threat Labs שפורסם ב- 18 באוגוסט 2026 הפך את הסיכון התיאורטי הזה לתרחיש מוכח. מקבץ החולשות CoSnitch, המתויג כ- CVE-2026-24301 במדריך עדכוני האבטחה של מיקרוסופט, איפשר לתוקף לשאוב בקליק אחד מידע מהשירותים שהמשתמש כבר חיבר ל- Copilot Personal — העוזר הצרכני בכתובת copilot.microsoft.com. יש לציין כי המחקר אינו קובע שאותה התנהגות קיימת ב- Microsoft 365 Copilot.
מה התגלה וכיצד זה עובד
Varonis קיבצה את הממצאים לשלוש חולשות. השתיים הראשונות מרכיבות את נתיב הדליפה בקליק אחד; השלישית היא נתיב נפרד של הרעלת זיכרון דרך סיכום עמודי אינטרנט.
- הראשונה היא פרמטר כתובת לא מתועד בשם autorun=1. בצירוף הפרמטר הקיים q, אשר ממלא מראש את תיבת הקלט, השניים מריצים את ההנחיה של התוקף מאליה עם טעינת העמוד — בלי פעולה מצד המשתמש, בתוך ההפעלה המאומתת שלו, עם אותן יכולות שיש לטקסט שהיה מקליד בעצמו. ההנחיה מגיעה לסיומה גם אם הקורבן סוגר את הלשונית מיד.
- השנייה מנצלת את השירותים המחוברים. ההנחיה המושתלת פונה לשירותים שהמשתמש כבר אישר, מקודדת את מה שחזר ומשגרת אותו אל webhook שבשליטת התוקף, באמצעות יכולת שליפת הכתובות המובנית של Copilot עצמו. שום הרשאה חדשה אינה ניתנת כאן; הטכניקה רוכבת על ההרשאות שהעובד העניק בעצמו. בבדיקות עלו גופי הודעות, שורות נושא ומטא-דאטה של שולח ונמען מחשבונות דואר מחוברים; פרטי פגישות מהיומן, כולל משתתפים ומיקומים; שמות קבצים ומטא-דאטה מ- Google Drive; שיחות קודמות; מאגר הזיכרון עצמו. לדברי Varonis, קידוד base64 עשוי לסייע בעקיפת מסננים שסורקים תעבורה יוצאת אחר דפוסים רגישים. ברמת הרשת, כך נמסר, בקשות הדליפה אינן נבדלות מבקשות הסיכום השגרתיות של העוזר.
- השלישית עוסקת בזיכרון. עמוד שנבנה במיוחד גורם ל- Copilot, ברגע שהוא מתבקש לסכם אותו, לכתוב את הוראות התוקף לתוך מאגר הזיכרון של המשתמש. לפי Varonis, הוראות כאלו שורדות החלפת סיסמה, ביטול הפעלות ורישום מחדש של מכשיר. הן נשארות פעילות בשיחות הבאות עד למחיקה ידנית בהגדרות, בלי לייצר תהליך, קובץ, חיבור רשת או רשומת יומן שכלי אבטחה היו מסמנים.
לגבי אופן הגילוי: החוקרים שאלו את Copilot שוב ושוב מדוע הנחיות אינן יכולות לרוץ ללא אינטראקציה, עד שנקב בשם autorun=1 ובהגנות שאמורות היו לנטרל אותו. כשבנו את הכתובת כפי שתוארה, הפרמטר שלגביו נאמר שאינו פועל עוד — רץ. הניסוח של Varonis קולע: Copilot לא נפרץ, שיחקו בו.
מהו סיכון אבטחת המידע לארגונים
החשיפה אינה יושבת בסביבה הארגונית המנוהלת. Copilot Personal הוא מוצר צרכני שעובדים מפעילים מתוך רשת החברה, בלי אישור ובלי מדיניות. גבול החשיפה אינו נקבע לפי מדיניות ה- IT אלא לפי מה שכל עובד חיבר בחשבון הפרטי שלו: תיבת דואר עם התכתבות עסקית, יומן שמסגיר לוחות זמנים ורשימות משתתפים, אחסון ענן עם קבצי עבודה.
ההשלכה השנייה חמורה מהדליפה עצמה. שלוש הפעולות שמרכיבות את ליבת נוהל התגובה לאירוע ברוב הארגונים — החלפת סיסמה, ביטול הפעלות ורישום מכשיר מחדש — אינן מנטרלות הוראה שכבר נכתבה לזיכרון. הארגון מתמודד עם אירוע חסר חתימה: אין תהליך שסוכן קצה יזהה, אין קובץ לסרוק, אין רשומה שתגיע ל- SIEM.
הפגיעות דווחה למיקרוסופט בדצמבר 2025 והתיקונים הופצו ב- 18 באוגוסט 2026. נכון לפרסום אין עדות לניצול בפועל. Varonis לא הצביעה על עדכון בצד הלקוח שיש להתקין, אך הפרסום גם אינו קובע אם התיקון הסיר רשומות זיכרון שנוצרו לפניו. מבחינת מנהל אבטחה זו שאלה פתוחה אשר מחייבת בדיקה ידנית של הגדרות הזיכרון אצל מי שהשתמש בכלי.
מעבר לאירוע הבודד מסתמן דפוס. פחות משבועיים קודם לכן פרסמה אותה קבוצת מחקר תקיפה דומה נגד העוזר Rovo של Atlassian, דרך פרמטר בשם rovoChatPrompt. חוקרים נוספים תיעדו כתיבה לזיכרון בהזרקת הנחיות עקיפה ב- Microsoft 365 Copilot ובעוזר הצרכני, בהם CVE-2026-24299. כל עוזר AI שמקבל פרמטרים בכתובת, מחזיק זיכרון מתמשך ומתחבר לשירותים חיצוניים – הוא מועמד לאותה משפחה.
פתרונות אבטחת סייבר של 010
סקר סיכונים הוא הצעד הראשון: מיפוי של עוזרי הבינה המלאכותית שבשימוש בפועל, של הרשאות ה- OAuth שהוענקו להם ושל המידע העסקי שיושב בחשבונות שמאחוריהם. Varonis ממליצה לנתק אפליקציות מחוברות שאינן נחוצות; בלי מיפוי מוקדם אין על מה להחיל את ההמלצה.
מודעות עובדים לסייבר נוגעת ללב האירוע. התרחיש נשען על לחיצה אחת בקישור שפותח עוזר AI לגיטימי למראה — בלי הורדה, בלי קובץ מצורף, בלי בקשת הרשאה שתעורר חשד. הדרכה טובה מוסיפה גם הרגל חדש: בדיקה תקופתית של ממשק הזיכרון, המקום שבו שינוי כזה כן נראה.
מניעת דלף מידע (DLP) פועלת בשלב שקודם לתקיפה. המידע שיצא בתרחיש הזה הוא מידע שהמשתמש כבר הורשה לראות. הבקרה האפקטיבית אינה על ההרשאה אלא על הערוץ: אילו נתונים עסקיים רשאים להגיע מלכתחילה לחשבונות פרטיים ולכלים שאינם מנוהלים.
SIEM/SOC נדרש כאן להתאמה. הכתיבה לזיכרון עצמה לא תגיע לניטור, אך סביבתה כן: אישורי OAuth חדשים, גישה חריגה לחשבונות ותעבורה יוצאת ליעדים לא מוכרים. בסביבה הארגונית מציינת מיקרוסופט שעדכוני זיכרון ב- Microsoft 365 Copilot נרשמים ביומני ביקורת ונחשפים בשדה MemoryUpdated ב- Defender Advanced Hunting וב- Sentinel.
מודיעין סייבר סוגר את המעגל. ההחלטה אם פרסום כזה נוגע לארגון תלויה בידיעה מה נמצא בשימוש ומה כבר תוקן. ההמלצה של Varonis להתייחס לעוזר כאל גורם פנימי בעל הרשאות גבוהות, היא שינוי התפיסה הנדרש.
למקור הידיעה ולקריאה נוספת לחצו כאן
