// HEISE ONLINE — INTELLIGENZA ARTIFICIALE
Microsoft behebt Sicherheitslücke: KI-Assistent Copilot verrät Schwachstellen
Sicherheitsforscher haben Microsofts KI-Assistenten dazu gebracht, seine eigenen Schutzmechanismen offenzulegen.
Microsofts KI-Assistent hat seinen Angreifern selbst gezeigt, wie man ihn knackt.
Forscher der Sicherheitsfirma Varonis befragten Microsoft 365 Copilot gezielt nach seinen Schutzmechanismen und der Assistent lieferte die entscheidenden Hinweise, um eine kritische Sicherheitslücke auszunutzen. Ein manipulierter Link genügte, um darüber unbemerkt Passwörter, E-Mails und Kalendereinträge abzugreifen.
Der von Varonis „CoSnitch“ getaufte und auf dem firmeneigenen Blog ausführlich dokumentierte Angriff konnte automatisch Befehle ausführen, Daten über verbundene Dienste abgreifen und das „Gedächtnis“ des KI-Assistenten dauerhaft manipulieren. Varonis bezeichnet die Methode selbst als „Meta-Hacking“. Die Idee dahinter: statt klassischem Reverse Engineering, wird der Assistent direkt befragt. Anfangs soll Copilot Auskünfte verweigert haben. Doch jede Ablehnung enthielt laut Varonis-Forscher Lior Adar technische Details zur internen Architektur.
Durch geschicktes Nachfragen gab der Assistent schließlich undokumentierte URL-Parameter und Schutzmaßnahmen preis. Mit diesem Wissen konnte Varonis diese umgehen und eine manipulative URL nachbauen. Klickt ein Nutzer darauf, lädt der Browser seine aktuelle autorisierte Copilot-Session und der eingeschleuste Prompt wird automatisch und ohne Bestätigung oder Warnung mit Zugriff auf sämtliche mit Copilot verbundenen Dienste ausgeführt.
Der Assistent greift anschließend Daten aus Gmail, Google Drive und anderen verknüpften Apps ab. Um sie unbemerkt weiterzuleiten, kodiert er die gestohlenen Informationen im Base64-Format – einer Methode, die beliebige Daten in unauffällige Zeichenketten umwandelt – und übermittelt sie per gewöhnlichem HTTP-Aufruf an einen Server der Angreifer. Für Sicherheitssoftware sieht das aus wie normaler Datenverkehr.
Versteckte Anweisungen auf einer Webseite, die Copilot zusammenfassen sollte, schrieben sich dauerhaft in seinen Speicher. Laut Varonis überstanden diese Einträge sogar Passwortänderungen und Geräte-Neuanmeldungen. Diese indirekte Prompt Injection ist ein strukturelles Problem, das alle KI-Assistenten betrifft, die externe Inhalte verarbeiten. Dabei schleusen Angreifer versteckte Anweisungen in Inhalte ein, die ein KI-Modell verarbeitet – etwa in Webseiten oder Dokumente. Das Modell behandelt diese Anweisungen wie legitime Befehle.
Microsoft hat die Schwachstelle nach eigenen Angaben am 18. August 2026 vollständig behoben, nachdem Varonis sie im Dezember 2025 gemeldet hatte und eine erste, stille Teilkorrektur im Februar erfolgte. Wie viele Nutzerinnen und Nutzer tatsächlich betroffen waren, ist nicht bekannt. Die Reichweite ist potenziell enorm: Laut Microsoft setzen mittlerweile 30 Millionen zahlende Nutzer Copilot ein. Aktuell müssten Kunden jedoch nichts unternehmen. Die Schutzmaßnahmen würden kontinuierlich aktualisiert.
Varonis, das selbst Software zur Datensicherheit in Unternehmensumgebungen vertreibt und ein wirtschaftliches Interesse an solchen Sicherheitslücken hat, sieht ein grundsätzliches Problem: KI-Assistenten seien reaktiv abgesichert statt proaktiv geschützt. Wer Copilot oder ähnliche Werkzeuge nutzt, sollte die Zahl verbundener Apps gering halten und Links aus unbekannten Quellen kritisch prüfen.
Keine News verpassen! Jeden Morgen der frische Nachrichtenüberblick von heise online