Interrogé, Copilot livre ses propres failles aux pirates informatiques
Des chercheurs de Varonis Threat Labs ont révélé l'existence de CoSnitch, une vulnérabilité affectant Microsoft Copilot qui permettait de manipuler l'assistant IA pour qu'il révèle ses propres failles de sécurité et exfiltre des données utilisateur en un seul clic. Microsoft a corrigé le problème avec un patch déployé le 18 août 2026. La faille reposait sur une technique consistant à interroger Copilot de manière à contourner ses garde-fous internes, l'assistant finissant par divulguer des informations sensibles ou par exécuter des actions non prévues à l'insu de l'utilisateur, sans nécessiter d'interaction complexe de sa part. Cette découverte illustre un problème structurel qui dépasse le seul cas de Copilot: les assistants IA intégrés aux suites bureautiques ont accès à un volume massif de données professionnelles (emails, documents, calendriers), ce qui en fait des cibles de choix pour l'exfiltration de données via des attaques par injection de prompt. Pour les entreprises qui ont déployé Copilot dans leurs environnements Microsoft 365, une telle faille pose un risque direct de fuite de données confidentielles, potentiellement sans que l'utilisateur ni les équipes de sécurité ne s'en aperçoivent, puisque l'action passe par l'assistant lui-même et non par un point d'entrée réseau classique. Ce type d'incident s'inscrit dans une série croissante de recherches en sécurité ciblant les agents IA intégrés aux environnements professionnels, où Varonis s'est positionné comme un acteur actif dans la détection de vulnérabilités liées à l'IA générative. Microsoft, qui a fait de Copilot un pilier de sa stratégie produit, doit désormais gérer en continu ce nouveau type de surface d'attaque, à mesure que ses assistants gagnent en autonomie et en accès aux données internes des organisations. D'autres découvertes similaires sont probables à mesure que ces outils se généralisent.
