Ein Link mit einem Suchparameter und autorun=1 genügt laut Varonis, damit Copilot Personal den mitgegebenen Prompt beim Laden ausführt. Die Anweisung kann Inhalte aus Gmail, Google Drive, Google Calendar, OneDrive, dem Copilot-Verlauf und Copilot Memory zusammenstellen, Base64-kodieren und an einen Angreifer-Server übertragen.
Über Copilot Memory kann die eingeschleuste Anweisung laut Bericht auch in späteren Gesprächen aktiv bleiben. Nutzer müssten sie in den Speichereinstellungen von Hand löschen. Varonis meldete den Fall im Dezember 2025; Microsoft lieferte die Patches am 18. August 2026 aus.
Varonis nennt Microsoft Copilot Personal unter copilot.microsoft.com. Die frühere SearchLeak-Meldung des Unternehmens betraf dagegen Microsoft 365 Copilot für Unternehmen. Das Advisory ist eine Darstellung des Sicherheitsforschers; der Angriff wurde hier nicht nachgestellt.