Forscher der Sicherheitsfirma Varonis befragten Microsoft 365 Copilot gezielt nach seinen eigenen Schutzmechanismen, und der Assistent lieferte am Ende genau die Hinweise, die nötig waren, um eine kritische Sicherheitslücke auszunutzen. Ein manipulierter Link genügte anschließend, um unbemerkt Passwörter, E-Mails und Kalendereinträge abzugreifen. Microsoft hat die Lücke inzwischen behoben.
Meta-Hacking statt klassischem Reverse Engineering
Den von Varonis „CoSnitch" getauften Angriff dokumentiert das Unternehmen ausführlich im eigenen Blog. Statt den Assistenten klassisch per Reverse Engineering zu analysieren, befragten die Forscher Copilot direkt zu seiner internen Architektur. Anfangs verweigerte der Assistent entsprechende Auskünfte, doch laut Varonis-Forscher Lior Adar enthielt jede Ablehnung selbst schon technische Details zur internen Funktionsweise. Durch geschicktes Nachfragen gab Copilot schließlich undokumentierte URL-Parameter und Schutzmaßnahmen preis.
Mit diesem Wissen konnten die Forscher die Schutzmaßnahmen umgehen und eine manipulative URL nachbauen. Klickt ein Nutzer darauf, lädt der Browser dessen aktuelle autorisierte Copilot-Session, und der eingeschleuste Prompt wird automatisch ausgeführt, ohne Bestätigung oder Warnung und mit Zugriff auf sämtliche mit Copilot verbundenen Dienste.
Datenklau per Base64 und dauerhafte Manipulation
Der Assistent griff anschließend Daten aus Gmail, Google Drive und anderen verknüpften Apps ab. Um sie unbemerkt weiterzuleiten, kodierte er die gestohlenen Informationen im Base64-Format, wodurch sich beliebige Daten in unauffällige Zeichenketten verwandeln lassen, und übermittelte sie per gewöhnlichem HTTP-Aufruf an einen Server der Angreifer. Für Sicherheitssoftware sieht das wie normaler Datenverkehr aus.
Besonders problematisch: Versteckte Anweisungen auf einer Webseite, die Copilot zusammenfassen sollte, schrieben sich dauerhaft in den Speicher des Assistenten. Laut Varonis überstanden diese Einträge sogar Passwortänderungen und Neuanmeldungen auf anderen Geräten. Diese Form der indirekten Prompt Injection ist ein strukturelles Problem, das grundsätzlich alle KI-Assistenten betrifft, die externe Inhalte verarbeiten. Dabei schleusen Angreifer versteckte Anweisungen in Inhalte ein, die ein Modell verarbeitet, etwa in Webseiten oder Dokumente, und das Modell behandelt diese Anweisungen wie legitime Befehle.
Kein Handlungsbedarf für Kunden
Microsoft hat die Schwachstelle nach eigenen Angaben am 18. August 2026 vollständig behoben, nachdem Varonis sie bereits im Dezember 2025 gemeldet hatte und im Februar eine erste, stille Teilkorrektur erfolgte. Wie viele Nutzer tatsächlich betroffen waren, ist nicht bekannt, die potenzielle Reichweite ist aber erheblich: Laut Microsoft setzen inzwischen 30 Millionen zahlende Kunden Copilot ein. Aktuell müssen Nutzer nichts unternehmen, die Schutzmaßnahmen würden laut Microsoft kontinuierlich aktualisiert.
Varonis, das selbst Software zur Datensicherheit in Unternehmensumgebungen vertreibt und damit ein wirtschaftliches Interesse an solchen Funden hat, sieht dennoch ein grundsätzliches Problem: KI-Assistenten seien eher reaktiv abgesichert als proaktiv geschützt. Wenn du Copilot oder ähnliche Werkzeuge nutzt, solltest du die Zahl verbundener Apps möglichst gering halten und Links aus unbekannten Quellen besonders kritisch prüfen.