CoSnitch: Copilot konnte Prompts aus einem Link ausführen und personenbezogene Daten stehlen

Eine Angriffskette in Copilot Personal

Varonis Threat Labs entdeckte eine Angriffskette in Microsoft Copilot Personal, durch die ein einfacher Klick auf einen Link die automatische Ausführung von Befehlen auslösen konnte. Der als CoSnitch bezeichnete Angriff kombinierte die Offenlegung technischer Informationen, Prompt Injection, persistente Memory Poisoning und Datenexfiltration.

Microsoft stellte am 18. August 2026 Sicherheitsupdates bereit, nachdem das Unternehmen im Dezember 2025 über das Problem informiert worden war. Varonis erklärte, keine Hinweise auf eine tatsächliche Ausnutzung beobachtet zu haben.

Die Schwachstelle trägt die Bezeichnung CVE-2026-24301 und erhielt einen CVSS-3.1-Score von 8,8 mit folgendem Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Der Score beschreibt eine aus der Ferne ausnutzbare Schwachstelle, für die keine vorherigen Berechtigungen erforderlich sind. Allerdings muss das Opfer zumindest auf einen Link klicken. Die möglichen Auswirkungen betreffen die Vertraulichkeit, Integrität und Verfügbarkeit der zugänglichen Informationen.

Der versteckte Parameter, der den Prompt auslöste

Die Untersuchung begann mit einer scheinbar theoretischen Frage: Unter welchen Bedingungen könnte Copilot einen Prompt ohne direkte Interaktion des Benutzers ausführen?

Die Antworten des Chatbots bestritten zwar, dass ein Befehl ohne die Absicht des Benutzers gestartet werden könne, lieferten gleichzeitig jedoch Details über die interne Funktionsweise des Systems. Durch aufeinanderfolgende Fragen zu URLs, Deep Links, Query-Parametern und dem Verhalten beim Laden einer Seite rekonstruierten die Forscher Teile der Copilot-Architektur.

Varonis bezeichnete diese Technik als Meta-Hacking. Dabei wird der Assistent zu seinem eigenen Verhalten, den Mechanismen zur Prompt-Verarbeitung und der Struktur von Links befragt. Die gesammelten Informationen können anschließend zum Aufbau eines gezielteren Angriffs dienen.

Vor der Behebung konnte der undokumentierte Parameter ?autorun=1 in Kombination mit einem Parameter, der den Prompt enthielt, beim Öffnen der Seite die automatische Ausführung des Befehls auslösen. Der Link hatte ungefähr folgende Struktur:

copilot.microsoft.com/?q=<malicious_prompt>&autorun=1

Die Domain blieb die legitime Copilot-Domain. Das Opfer musste auf den Link klicken, aber keine weitere Bestätigung abgeben, um den eingebetteten Prompt zu starten.

Der Befehl wurde in der authentifizierten Sitzung des Opfers ausgeführt und nutzte die für Copilot bereits verfügbaren Berechtigungen und Verbindungen. Das Problem bestand daher nicht nur im Öffnen einer manipulierten Seite: Der Link konnte als Transportmittel für eine Anweisung an einen Assistenten dienen, der bereits mit mehreren Diensten verbunden war.

Auf welche Daten konnte zugegriffen werden?

Der Analyse zufolge konnte ein schädlicher Prompt Copilot anweisen, Aktivitäten in den über die Benutzersitzung zugänglichen Diensten durchzuführen. Zu den potenziell betroffenen Ressourcen gehörten:

• Gmail;
• Google Drive;
• Google Calendar;
• der persistente Speicher von Copilot;
• der Gesprächsverlauf.

Ein Angreifer hätte das System nutzen können, um nach Informationen zu suchen, Nachrichten und Dokumente zu sammeln, Termine einzusehen oder Aufklärungsaktivitäten durchzuführen. Die gefundenen Daten konnten anschließend über die dem Assistenten verfügbaren Funktionen und Verbindungen nach außen übertragen werden.

Das Risiko beschränkte sich nicht auf das Auslesen von Daten. Ein Prompt konnte auch Inhalte in den Speicher von Copilot einfügen und sie dadurch in späteren Interaktionen verfügbar machen. Diese manipulierten Informationen konnten künftige Antworten verändern, die Entscheidungen des Systems beeinflussen oder die Interpretation legitimer Anfragen verfälschen.

Die Manipulation des Speichers fügt dem Angriff somit eine persistente Komponente hinzu. Eine Kompromittierung muss nicht mit einer einzelnen Sitzung enden: Falsche Inhalte oder schädliche Anweisungen können im vom Assistenten verwendeten Kontext verbleiben.

Die Grenze zwischen privaten Konten und Unternehmensdaten

Microsoft Copilot Enterprise war nach Angaben des Unternehmens nicht betroffen. Die Schwachstelle betraf Microsoft Copilot Personal.

Diese Einschränkung beseitigt das Risiko für Organisationen jedoch nicht. Private Konten können Arbeitsdaten enthalten oder indirekt mit Unternehmensressourcen verbunden sein. Beispiele sind an private Gmail-Adressen weitergeleitete geschäftliche E-Mails, auf persönlichen Drives gespeicherte Arbeitsdokumente und in nicht vom Unternehmen verwalteten Konten gespeicherte Zugangsdaten.

Auch ein aus einem privaten Konto gestohlenes Passwort kann als Ausgangspunkt für den Zugriff auf andere Umgebungen dienen. Das Ausmaß hängt von den konfigurierten Verbindungen und den verfügbaren Berechtigungen ab, die für die Organisation nicht unbedingt sichtbar sind.

CoSnitch verdeutlicht damit ein allgemeineres Problem von KI-Assistenten mit Zugriff auf zahlreiche Informationsquellen: Das System kann über weitreichende Berechtigungen verfügen, aber nicht eigenständig erkennen, welche Anweisungen vertrauenswürdig und welche Inhalte schädlich sind. Ein Satz in einem Prompt, auf einer Webseite oder in einer verknüpften Quelle kann fälschlicherweise als Befehl behandelt werden.

Was Benutzer und Administratoren tun sollten

Microsoft erklärte, dass Kunden bereits geschützt seien und keine konkreten Maßnahmen erforderlich seien. Die Behebung betrifft CVE-2026-24301. Benutzer sollten dennoch prüfen, ob Copilot Personal die aktuelle Version des Dienstes verwendet.

Aus operativer Sicht empfiehlt es sich:

• die mit KI-Assistenten verbundenen Konnektoren zu überprüfen;
• Berechtigungen auf die tatsächlich benötigten Ressourcen zu beschränken;
• private Konten und Unternehmensdaten voneinander zu trennen;
• geschäftliche E-Mails nicht an private Postfächer weiterzuleiten;
• Arbeitsdokumente und Zugangsdaten nicht auf persönlichen Drives zu speichern;
• den persistenten Speicher der Assistenten zu überprüfen und unerwartete Inhalte zu entfernen;
• ungewöhnliche Zugriffe auf Gmail, Drive, Calendar und verbundene Microsoft-Konten zu überwachen;
• bei Links, die Copilot direkt mit ungewöhnlichen Parametern öffnen, besonders aufmerksam zu sein.

Bei verdächtigen Aktivitäten sollten der Gesprächsverlauf, die erteilten Berechtigungen für verbundene Dienste und die letzten Kontoanmeldungen überprüft werden. Unerwartete Daten im Copilot-Speicher können auf eine Manipulation hindeuten, stellen für sich allein jedoch noch keinen Beweis für eine Kompromittierung dar.

Varonis beobachtete keine Ausnutzung in freier Wildbahn. Die Kombination aus automatischer Ausführung, kontextbezogenem Datenzugriff, persistentem Speicher und der Offenlegung von Architekturdetails macht den Fall dennoch relevant: Ein Assistent kann gleichzeitig als Aufklärungsinstrument, operatives Werkzeug und Angriffsfläche für die Exfiltration dienen.