Copilot-Reprompt-Schwachstelle legt Microsoft-Copilot-Daten mit einem Klick offen

Der Copilot-Reprompt-Exploit legte eine schwerwiegende Schwachstelle in Microsoft Copilot offen, die es Angreifern ermöglichte, mit nur einem einzigen Klick Datenlecks auszulösen. Die Sicherheitslücke erlaubte es, bösartige Prompts unbemerkt auszuführen – selbst dann, wenn Nutzer davon ausgingen, dass Copilot inaktiv sei.

Sicherheitsforscher entdeckten das Problem während kontrollierter Tests und meldeten es an Microsoft, woraufhin das Unternehmen Anfang dieses Jahres ein Sicherheitsupdate veröffentlichte.

So funktioniert der Copilot-Reprompt-Exploit

Der Exploit missbraucht die Art und Weise, wie Microsoft Copilot Weblinks mit eingebetteten Anweisungen verarbeitet. Angreifer können einen manipulierten Prompt in einem URL-Parameter verstecken und Nutzer dazu verleiten, auf den Link zu klicken.

Nach dem Klick interpretiert Copilot den eingebetteten Text als legitime Nutzeranfrage. Das System führt den Prompt anschließend automatisch aus, ohne eine weitere Bestätigung zu verlangen.

Dieses Verhalten ermöglicht es Angreifern, die integrierten Schutzmechanismen von Copilot zu umgehen und Informationen auszulesen, ohne auffällige Warnungen auszulösen.

Warum ein einziger Klick ausreicht

Copilot ist auf aktive Authentifizierungssitzungen im Browser angewiesen. Klickt ein Nutzer auf einen bösartigen Link, übernimmt der KI-Assistent automatisch den Kontext dieser Sitzung.

Aufgrund dieses Designs funktioniert der Exploit auch dann weiter, wenn Nutzer die Copilot-Chatoberfläche schließen. Die Sitzung bleibt im Hintergrund aktiv und ermöglicht einen unbemerkten Datenzugriff.

Dieser Mechanismus macht den Angriff besonders gefährlich, da Betroffene möglicherweise nie bemerken, dass Copilot unbeabsichtigte Befehle ausgeführt hat.

Auf welche Daten Angreifer zugreifen konnten

Während der Tests zeigten die Forscher, dass der Exploit sensible kontextbezogene Daten aus einer Copilot-Sitzung auslesen konnte. Dazu gehörten Informationen zur Browseraktivität, Details zu Dateiinteraktionen sowie standortbezogene Metadaten.

Der Angriff erforderte weder erhöhte Berechtigungen noch fortgeschrittene Schadsoftware. Einfache Social-Engineering-Techniken in Kombination mit Prompt-Manipulation erwiesen sich als ausreichend.

Solche Angriffe mit geringem Aufwand senken die Hürde erheblich für den Missbrauch von KI-Assistenten im großen Maßstab.

Microsofts Reaktion und Patch-Status

Microsoft behob die Schwachstelle nach verantwortungsvoller Meldung und veröffentlichte eine Korrektur für die Consumer-Version von Copilot. Das Update verhindert, dass Copilot versteckte Prompts ausführt, die in URLs eingebettet sind.

Nach Angaben von Microsoft waren Unternehmensumgebungen mit Microsoft 365 Copilot von diesem spezifischen Exploit nicht betroffen.

Nutzer, die ihre Systeme aktuell halten, sind nun vor diesem Angriffsvektor geschützt.

Warum dies für die KI-Sicherheit wichtig ist

Der Copilot-Reprompt-Exploit verdeutlicht ein grundlegenderes Problem bei KI-Systemen, die externe Eingaben akzeptieren. Prompt-Injection-Angriffe nutzen die unscharfe Grenze zwischen vertrauenswürdigen und nicht vertrauenswürdigen Anweisungen aus.

Mit der tieferen Integration von KI-Assistenten in Produktivitätsabläufe werden Angreifer diese Interaktionsebenen weiterhin gezielt auf Schwachstellen prüfen.

Der Vorfall unterstreicht die Notwendigkeit stärkerer Eingabevalidierung, klarer Ausführungsgrenzen und kontinuierlicher Sicherheitstests für KI-gestützte Plattformen.

Fazit

Der Copilot-Reprompt-Exploit zeigt, wie leicht Angreifer KI-Assistenten durch subtile Interaktionstricks missbrauchen können. Ein einziger Klick reichte aus, um unbeabsichtigtes Verhalten auszulösen und sensible Daten offenzulegen.

Mit der zunehmenden Verbreitung von KI wird es entscheidend sein, die Verarbeitung von Prompts und die Ausführungslogik abzusichern. Anbieter müssen KI-Schnittstellen als Angriffsflächen betrachten und nicht nur als Komfortfunktionen, um zukünftige Datenlecks zu verhindern.