LONDON (IT BOLTWISE) – Künstliche Intelligenz kann manchmal auch als Angriffsvektor dienen: Forschende zeigen mit SearchLeak, wie ein einzelner Klick auf einen scheinbar vertrauenswürdigen Microsoft-Link Daten aus der Microsoft-365-Copilot-Enterprise-Suche abziehen könnte. Der Weg kombiniert drei Schwächen, darunter eine Parameter-zu-Prompt-Injection und ein Timing-Problem beim Streaming von Antwortinhalten. Kritisch ist vor allem der Zugriff auf E-Mails, Kalenderdetails und indexierte Dateien – inklusive zeitkritischer MFA-Codes. Microsoft hat die Lücke serverseitig bereits gemildert, doch Admins sollten die beschriebenen Muster aktiv überwachen.
Microsoft 365 Copilot Enterprise Search ist eigentlich dafür gedacht, Informationen aus Unternehmensdaten schnell auffindbar zu machen – doch genau diese Eigenschaft wird in einer aktuellen Sicherheitsanalyse zum Risiko. Das Muster, das Varonis Threat Labs als „SearchLeak“ beschreibt, zeigt, wie ein Angreifer einen vertrauenswürdigen Link zu microsoft.com nutzen kann, um ohne weitere Interaktion Daten abzugreifen. Entscheidend ist dabei: Der Nutzer muss weder einen Prompt formulieren noch Passwörter eingeben, und es reicht ein Klick. Microsoft stuft den Fehler als kritisch ein und behebt ihn serverseitig, aber das Beispiel macht deutlich, wie KI-Features traditionelle Sicherheitsannahmen herausfordern.
Technisch läuft das Angriffskonstrukt auf eine Kette aus mehreren Schwachstellen hinaus, die einzeln harmloser wirken würden, gemeinsam aber eine Exfiltrationspipeline bilden. Laut Advisory lässt sich der Fehler als Command-Injection einordnen, der Informationen netzwerkweit exponieren kann. In der praktischen Herleitung schichtet SearchLeak jedoch eine KI-spezifische Schwäche über zwei ältere Web-Bug-Klassen: Erst wird das Such-URL-Parameterfeld nicht als reiner Suchbegriff interpretiert, sondern als anleitende „Prompt“-Instruktion. Danach sorgt ein Race-Condition-Effekt dafür, dass schädlicher Inhalt während des Antwort-Streamings wirksam wird, bevor das beabsichtigte Sanitizing greift. Der letzte Schritt umgeht dann eine Content Security Policy über einen gezielt genutzten Dritt-Proxy.
Im Zentrum steht der Parameter „q“ in der Copilot-Enterprise-Search-URL. Die Funktion ist normalerweise dafür gedacht, eine natürliche Suchanfrage zu übergeben, doch Copilot verarbeitet den Inhalt als Befehle – nicht nur als Text. Varonis nennt diesen Mechanismus „Parameter-to-Prompt injection“. Ein Angreifer kann damit einen Link bauen, der Copilot anweist, gezielt in das Postfach zu gehen, etwa den Betreff einer Nachricht auszulesen, und den extrahierten Wert in eine nachgelagerte URL einzubauen. Der Nutzer merkt dabei weder Schreibaktivität noch „zweiten Klick“ – die KI arbeitet im Hintergrund. Dieser Übergang von „URL-Parameter“ zu „semantischer Anweisung“ ist ein Signal dafür, dass die Grenze zwischen Daten-Input und Steuertext in KI-gestützten Interfaces besonders sorgfältig gezogen werden muss.
Die zweite Stufe berührt ein häufig unterschätztes Detail: Timing. Microsoft beschreibt Schutzmechanismen, die Copilot-Ausgaben so umbrechen, dass der Browser sie als Text behandelt und nicht als ausführbares Markup. Problematisch wird es, wenn der Stream bereits gerendert wird, bevor der Schutz vollständig greift. Genau in diesem Fenster kann ein injizierter HTML-Baustein wie ein „img“-Tag erscheinen, eine Netzwerkanfrage auslösen und damit Daten „aus dem Prozess heraus“ schieben, bevor die Sanitizer-Logik den Inhalt neutralisiert. Damit wird eine alte Klasse von Sanitizing- und Rendering-Rennen im KI-Kontext wieder relevant. In der letzten Etappe kommt ein weiterer Hebel hinzu: Copilot-Output wird so in eine externe Abfrage verpackt, dass sie nicht mehr vom Browser-Policy-Setup des eigentlichen Pageskript-Containers kontrolliert wird.
Der entscheidende Umgehungsmechanismus hängt an der Content Security Policy. Während die Umgebung in m365.cloud.microsoft Bildquellen von willkürlichen Domains unterbindet, wird der Zugriff über eine erlaubte Liste wie „*.bing.com“ zugelassen. Varonis zeigt, wie Bing als „Image Fetch“-Infrastruktur genutzt werden kann: Bing bietet einen Endpunkt, der ein Bildserverseitig verarbeitet, wenn ihm eine URL übergeben wird. Wird diese URL so gestaltet, dass der gestohlene Text in der Pfadstruktur „kodiert“ ist, holt Bing im Auftrag des Angreifers genau dieses Objekt ab. Die Browser-CSP greift dann nicht mehr, weil die eigentliche ausgehende Anfrage nicht vom Browser ausgeht, sondern von Bings Infrastruktur. So wird aus einem KI-Interface indirekt ein Exfiltrations-Proxy.
Aus Angreifersicht ergibt sich damit eine besonders zeitkritische Wirkungskette. Copilot Enterprise kann – vereinfacht gesagt – auf das zugreifen, was der angemeldete Nutzer über Microsoft Graph ohnehin sehen dürfte; der Angreifer erbt diese Berechtigungen, ohne sich selbst anzumelden. Am wertvollsten sind meist Elemente, die in Minuten statt in Stunden „verfallen“: Einmalcodes für MFA, Codes für Logins oder Links zum Zurücksetzen von Passwörtern. Wer solche Token während des gültigen Zeitfensters automatisiert extrahieren kann, gewinnt praktische Account-Takeover-Chancen, bevor Sicherheitsprozesse reagieren. Zusätzlich kann die Suche auch kalendernahe Informationen, Meeting-Notizen und von Copilot indexierte SharePoint- oder OneDrive-Daten erreichen – Orte, an denen häufig finanzielle Kennzahlen, Planungsunterlagen und Akquisitionsszenarien liegen.
Der Markt zeigt inzwischen ein klares Muster: Anbieter arbeiten zwar an Guardrails, aber Angriffe passen sich an. Schon zuvor berichtete Varonis über eine ähnliche one-click Logik in einem Reprompt-Angriff gegen Copilot Personal, und der neue Fund zeigt, dass zusätzliche Schutzschichten im Enterprise-Segment nicht automatisch die gleiche Angriffskette verhindern. Außerdem taucht das Thema in weiteren Sicherheitsmeldungen auf, etwa im Kontext von „EchoLeak“ (CVE-2025-32711), bei dem Data-Leaks ohne Nutzerinteraktion diskutiert wurden. Im Vergleich zu anderen Ökosystemen, etwa Googles Gemini-gestützten Unternehmensfunktionen oder Chatbots in Google Workspace, verlagert sich der Wettbewerb damit auf „Secure AI by design“: Nicht nur Modellqualität, sondern robustes Input- und Output-Handling wird zum Differenzierungsfaktor. Experten betonen in Analysen zu solchen Vorfällen häufig, dass klassische URL-Filter und Phishing-Erkennungen an Grenzen stoßen, sobald Angriffe im Look-and-Feel legitimer Plattform-Links stattfinden.
Für Unternehmen liegt die operative Lehre weniger in „sofort patchen“, weil Copilot Enterprise als Managed Service serverseitig mitigiert wurde, sondern in Überwachung und Governance. Tenant-Admins können die problematischen Komponenten nicht selbst umbauen, aber sie können Copilot-Search-URLs mit auffälligen, kodierten Payloads im „q“-Parameter und ungewöhnliche ausgehende Anfragen zu Bing-Image-Endpunkten beobachten. Darüber hinaus sollten sie die Datenzugriffsbreite des Systems begrenzen: Weniger Indexierung bedeutet weniger Datenvolumen, das ein zukünftiges Leak im Ernstfall überhaupt kompromittieren könnte. Historisch erinnern solche Fälle daran, dass SSRF-ähnliche Klassen, Sanitizing-Rennen und Policy-Umgehungen seit Jahren existieren; neu ist vor allem, wie Prompt-Injection-Logik sie im KI-Workflow wieder „anschlussfähig“ macht. Der nächste Schritt in der Zukunft dürfte daher in strengeren, formalen Trennlinien zwischen „Benutzereingabe als Daten“ und „Benutzereingabe als Steuerinstruktion“ liegen, inklusive deterministischer Streaming-Sanitization und besserer Entkopplung von Policy-Umgehungspunkten über Drittanbieter-Services.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SearchLeak: One-Click-Exfiltration über Microsoft 365 Copilot Enterprise Search" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SearchLeak: One-Click-Exfiltration über Microsoft 365 Copilot Enterprise Search" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SearchLeak: One-Click-Exfiltration über Microsoft 365 Copilot Enterprise Search« bei Google Deutschland suchen, bei Bing oder Google News!