Microsoft Copilot gehackt: KI verrät Forschern ihren eigenen Angriffsweg

Microsoft Copilot gehackt: Forscher bringen KI dazu, ihren eigenen Angriffsweg zu verraten. CoSnitch konnte Daten per One-Click abgreifen.

Schutzmechanismen werden Einfallstor

CoSnitch: Ein Link reicht aus

Microsoft Copilot als Datenkurier

Microsoft Copilot Personal gehackt: Eine Blaupause für Angreifer

Microsoft Copilot erklärte Sicherheitsforschern von Threat Labs, warum sich ein Prompt nicht ohne Nutzerinteraktion ausführen lässt. Allerdings liefert sie gerade dabei entscheidende Hinweise für den Angriff ‚Microsoft Copilot gehackt‘. Im Rahmen ihrer Untersuchung brachte Varonis Threat Labs den Assistenten dazu, technische Details über seine eigenen Schutzmechanismen preiszugeben.

Unter dem Namen CoSnitch haben Varonis-Sicherheitsforscher eine Schwachstellenkette in Microsoft Copilot Personal dokumentiert. Mittels eines präparierten Links war es ihnen möglich, einen Angriff ohne weitere Bestätigung eines Nutzers anzustoßen. Daraus entstand eine Angriffskette, mit der sich Daten aus verbundenen Diensten abgreifen ließen. Laut Varonis besteht CoSnitch aus drei miteinander verknüpften Schwachstellen in Microsoft Copilot Personal: automatische Prompt-Ausführung, Datenexfiltration über verbundene Dienste und Manipulation des persistenten Speichers. Diese werden unter der Kennung CVE-2026-24301 geführt.

Die Sicherheitsforscher verwiesen darauf, dass es sich dabei um kontrollierte Tests handelte. Varonis fand keine Hinweise darauf, dass die Schwachstellen bereits in freier Wildbahn ausgenutzt wurden. Mittlerweile hat Microsoft die von den Forschern gemeldeten Schwachstellen behoben. Der Konzern veröffentlichte am 18. August 2026 entsprechende Sicherheitsupdates.

Schutzmechanismen werden Einfallstor

Als Ansatzpunkt ihrer Forschung nannte Varonis einen URL-Abfrageparameter namens „?q=“ in der Weboberfläche von Copilot. Darüber ließ sich Text ursprünglich direkt in das Chat-Eingabefeld übertragen. Der Nutzer musste den Inhalt nicht selbst eingeben. Microsoft hatte diese Funktion allerdings stillschweigend deaktiviert, um den KI-Assistenten besser gegen Prompt-Injection-Angriffe abzusichern.

Nachdem der Parameter gesperrt worden war, fragten sie Copilot, wie sich ein vorformulierter Prompt dennoch ohne Nutzerinteraktion ausführen ließe. Ihr eigentliches Ziel war eine URL, die Copilot mit einer bereits ausgefüllten Eingabe öffnet, sodass der Nutzer lediglich noch die Eingabetaste drücken müsste. Die Formulierung wählten sie bewusst harmlos, um den Assistenten dazu zu bringen, seine eigene Verarbeitung von URLs detailliert zu erklären.

Als Copilot ihnen zunächst mitteilte, dass eine Nutzeraktion erforderlich sei und Eingabeaufforderungen nicht automatisch ausgeführt würden, bohrten die Forscher weiter nach. Im Anschluss fragten sie, warum eine automatische Ausführung nicht möglich sei und welche........

© Tarnkappe