LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, dass ein bislang undokumentierter URL-Parameter in Microsoft 365 Copilot Enterprise ein automatisches Ausführen von Prompts beim Klick auslösen konnte. In Kombination mit einem bekannten Parameter gelang es, ohne ausdrückliche Benutzerinteraktion sensible Inhalte aus einem eingeloggten Session-Kontext abzurufen. Microsoft soll die Schwachstelle bereits im Februar eingedämmt und am Dienstag umfassender behoben haben. Der Vorfall macht deutlich, wie verwundbar KI-Schutzmechanismen sind, wenn Angreifer in URL- und Prompt-Ökosysteme hineinwirken.
Microsofts Copilot Enterprise steht derzeit weniger wegen eines „klassischen“ Exploits im Fokus als wegen einer Detailschwäche im Zusammenspiel aus URL-gestütztem Prompting und den Erwartungen an Nutzerzustimmung. Die Sicherheitsfirma Varonis beschreibt, dass Angreifer ein KI-Modell in einen Modus versetzen konnten, in dem Prompts ohne explizite Bestätigung automatisch gestartet werden. Das Besondere: Die Forscher fanden den entscheidenden Parameter nicht über Reverse Engineering, sondern indem sie Copilot selbst gezielt nach den Grenzen seiner Sicherheitsmechanismen fragten. Damit wird ein Problem sichtbar, das viele Teams aus der LLM-Welt kennen: Guardrails sind nicht nur eine Code-Frage, sondern auch eine Frage, wie gut ein System im Dialog „zustimmungsrelevante“ Pfade erkennt.
Aus technischer Sicht lief die Attacke über URL-Parameter, die Copilot dazu bringen, Inhalte aus einer bereits authentifizierten Sitzung zu nutzen. Copilot kann so eingebettet werden, dass die URL nicht nur den Zielkontext vorgibt, sondern auch Anweisungen transportiert, etwa um E-Mail-Inhalte zu analysieren oder einen Entwurf zu erzeugen. Dabei gilt die Grundregel: Solche Kommandos sollen nicht automatisch ausgeführt werden, bevor die Person aktiv bestätigt – etwa durch einen Klick oder Tastendruck. Varonis berichtet jedoch von einem undokumentierten Prompt-Parameter, der diese Nutzerzustimmung faktisch aushebelte: Der String ?autorun=1 machte die Auto-Ausführung möglich. In Kombination mit ?q= konnte der Angriff laut Beschreibung den Prompt im Moment des Klicks triggern, ohne dass der Nutzer den Text manuell in das Chatfenster übertragen oder eine Interaktion abwarten musste.
Der Ablauf wird besonders brisant, weil der Angreifer damit nicht nur „eine Frage“ an die KI stellt, sondern einen vollständigen Prompt-Workflow auslösen kann, der über mehrere Schritte Daten abruft. Varonis liefert ein Beispiel, in dem Copilot angewiesen wird, die neueste E-Mail im Postfach zu identifizieren, ausschließlich die Adresse des letzten Absenders zu extrahieren und daraus anschließend eine Webhook-URL zu bauen. Solche Ketten sind deshalb gefährlich, weil sie nicht bei der reinen Textgenerierung enden, sondern Netzwerkzugriffe und Connector-Schritte einschließen können. Laut Varonis führte das dazu, dass exfiltrierte Inhalte zusätzlich in eine base64-ähnliche Darstellung überführt wurden, um Übertragungsfehler zu reduzieren und das Datenpaket in einen URL-Kontext zu „verpacken“. Der geschilderte technische Kern ist damit weniger die reine Prompt-Injection als vielmehr die automatische Ausführung in einer authentifizierten Session, inklusive Zugriff auf verbundene Apps und Speichermechanismen.
Microsoft habe die Lage nach Angaben der Forscher bereits im Februar entschärft: Dabei sei es so angepasst worden, dass ?q= keinen Text mehr in den Chat-Eingabepfad injizieren kann. Der Schutz griff also auf einer Ebene, die das naive Zusammensetzen problematischer Parameter verhindern sollte. Varonis schreibt allerdings, dass Microsoft das Thema am Dienstag mit „umfassenderen“ Fixes fortgeführt habe. Für Unternehmen ist das relevant, weil solche URL-Parameter nicht nur bei internen Entwicklern Aufmerksamkeit erzeugen, sondern auch in legitimen Integrationen vorkommen können – etwa wenn Tools, Browser-Extensions oder Kommunikationskanäle Copilot-Kontexte per Link aufrufen. Je stärker eine Organisation solche Deep-Link-Mechanismen in ihre Prozesse integriert, desto eher muss sie prüfen, welche Interaktionsannahmen (Klick, Eingabe, Bestätigung) tatsächlich durchgesetzt werden.
Neben dem URL-basierten Angriff beschreibt Varonis eine zweite Technikklasse: eine Prompt-Injection, die in Webseitenkontext eingebettet ist und dauerhaft in die „permanente“ Speicherablage von Copilot gelangen kann. Dieser Speicher, der sich laut Beschreibung Nutzerinformationen, Präferenzen und Anweisungen über Sitzungen hinweg merkt, wird damit zum Einfallstor. Wenn ein Nutzer Copilot etwa bittet, eine Seite zuzusammenfassen, können Instruktionen aus Metadaten der Seite so verarbeitet werden, dass sie das Gedächtnis aktualisieren. Besonders kritisch daran ist, dass die gespeicherten Inhalte Varonis zufolge selbst dann fortbestehen können, wenn Passwörter geändert, Sitzungen widerrufen oder Geräte neu angemeldet werden. Eine Erkennung ist demnach nur über manuelle Inspektion möglich – ein Maß an Aufwand, das in der Praxis selten in Incident-Prozessen vorgesehen ist.
Dass Varonis die Angriffe „Co-Snitch“ nennt und zudem auf frühere Demonstrationen wie „SearchLeak“ verweist, ordnet das Geschehen als Muster ein: Ein-Klick-Setups und mehrstufige Ketten sind keine Ausnahmen, sondern werden mit zunehmender Reife der Prompt-Injection-Techniken systematisch automatisierbar. Aus Verteidigungssicht liegt die Lehre damit nicht nur in einzelnen Fixes wie der Sperrung bestimmter Parameter, sondern in der Architektur der Zustimmungslogik: LLM-Teams müssen Guardrails so gestalten, dass sie nicht nur Eingaben bewerten, sondern die Ausführungsbedingungen in jeder Trigger-Umgebung konsistent prüfen. Bis dahin bleibt die praktische Risikoreduktion für Nutzer und IT-Teams naheliegend: Links aus unbekannten Quellen mit derselben Strenge behandeln wie klassische Phishing-Links, Dialoge bei KI-Nutzungen auf ungewöhnliche Inhalte prüfen und die Anzahl erlaubter Apps und Integrationen für KI-Assistenten begrenzen. Dass Copilot im Forschungsprozess die „Zutaten“ des Angriffs indirekt offenbarte, wirkt dabei wie ein Spiegel für das Grundproblem: Sicherheit entsteht nicht allein durch Richtlinien im Modell, sondern durch belastbare technische Grenzen entlang des gesamten Ausführungspfads.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Copilot-Dokumentationslücke: Unbekannter URL-Parameter startet Auto-Exfiltration" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Copilot-Dokumentationslücke: Unbekannter URL-Parameter startet Auto-Exfiltration" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Copilot-Dokumentationslücke: Unbekannter URL-Parameter startet Auto-Exfiltration« bei Google Deutschland suchen, bei Bing oder Google News!