Microsoft schließt CoSnitch-Lücke, die Copilot verriet

Forscher von Varonis Threat Labs haben eine kritische Sicherheitslücke in Microsoft Copilot entdeckt, der Verbraucherversion von Microsofts KI-Assistenten unter copilot.microsoft.com. Die als CoSnitch bezeichnete Lücke erlaubte es, Nutzerdaten — Passwörter eingeschlossen — abfließen zu lassen, sobald ein Opfer auf einen einzigen Link klickte, ohne Bestätigung oder weiteres Zutun. Varonis meldete die Lücke im Dezember 2025 an Microsoft; ein erster Teilpatch folgte im Februar 2026, eine vollständige Korrektur wurde am 18. August 2026 ausgerollt. Die Lücke ist als CVE-2026-24301 erfasst, mit einem CVSS-Schweregrad von 8,8 von 10 Punkten, eingestuft als kritisch.

Prompt-Injection bezeichnet eine Technik, bei der ein Angreifer Anweisungen in Inhalten versteckt, die ein Sprachmodell verarbeitet — hier ein URL-Parameter oder eine Webseite —, sodass das Modell sie anstelle der oder zusätzlich zu den vom rechtmäßigen Nutzer beabsichtigten Anweisungen ausführt. Zwei Varianten dieses Mechanismus stehen im Zentrum von CoSnitch.

Ein KI-Assistent, der zu seinen eigenen Schwachstellen befragt wurde

Die Entdeckung geht auf eine ungewöhnliche Methode zurück. Die Varonis-Forscher wollten einen Exploit bauen, der Daten abgreift, ohne dass das Opfer mehr tun musste, als auf einen Link zu klicken. Copilot verweigerte sich systematisch: Seine Schutzmechanismen verlangen eine ausdrückliche Nutzerhandlung, etwa einen Tastendruck, bevor eine sensible Aktion ausgeführt wird. Statt klassisches Reverse Engineering zu betreiben, befragten die Forscher den Assistenten selbst zur Natur dieses Schutzes — warum eine automatische Ausführung unmöglich sei, welche URL-Strukturen und Deep Links dabei eine Rolle spielten, was passiere, wenn eine Seite mit bereits vorausgefülltem Eingabefeld geladen werde. Jede Ablehnung von Copilot gab ein neues technisches Detail über seine interne Architektur preis, bis der Assistent schließlich ein echtes Betriebsgeheimnis von Microsoft offenlegte: einen undokumentierten URL-Parameter, der die Zustimmungspflicht vollständig umging.

Eine mit einem einzigen Klick ausgelöste Angriffskette

Dieser Parameter lautete ?autorun=1. In Kombination mit dem bereits bekannten Parameter ?q=, der genutzt wird, um das Copilot-Chatfeld über einen Link vorzubefüllen, löste er die Ausführung des eingeschleusten Prompts aus, sobald die Seite geladen war — ohne Klick, ohne Tastendruck, ohne Bestätigung. Ein nach diesem Muster gebauter Link, verschickt per E-Mail, Chat-Nachricht oder versteckt hinter einem QR-Code, genügte: Öffnete das Opfer ihn in einem Browser, in dem es bereits bei Copilot angemeldet war, lief der Prompt innerhalb seiner authentifizierten Sitzung ab — mit Zugriff auf verbundene Apps, Speicher und Daten, selbst wenn der Tab unmittelbar nach dem Laden geschlossen wurde.

• Ein versteckter URL-Parameter (?autorun=1) löste einen Prompt automatisch aus, sobald die Seite geladen wurde, ganz ohne Bestätigung des Nutzers.
• Der eingeschleuste Prompt konnte den Posteingang und verbundene Apps — Gmail, Google Drive, OneDrive — durchsuchen und sensible Daten extrahieren, einschließlich per E-Mail versendeter Passwörter.
• Die gestohlenen Daten wurden base64-kodiert und über Copilots eigene URL-Abruffunktion an einen vom Angreifer kontrollierten Server gesendet.
• Eine gesonderte Variante vergiftete den dauerhaften Speicher des Assistenten über eine präparierte Webseite: Sobald Copilot sie zusammenfasste, injizierte sie bösartige Anweisungen, die selbst einen Passwortwechsel, einen Sitzungswiderruf oder eine vollständige Neuregistrierung des Geräts überdauerten.

Der Patch vom 18. August, in einer Reihe von Copilot-Lücken

Microsoft neutralisierte zunächst im Februar 2026 den Parameter ?q=, indem es ihm untersagte, Text direkt in das Chatfeld einzuschleusen — Nutzer mussten fortan manuell klicken und tippen, was einige Drittanbieter-Browserintegrationen beeinträchtigte, die den Parameter wie ursprünglich vorgesehen nutzten. Ein umfassenderer Patch folgte am 18. August 2026, rund acht Monate nach der ursprünglichen Meldung von Varonis. Laut dem Sicherheitsunternehmen wurde vor der Korrektur keine aktive Ausnutzung von CoSnitch verzeichnet. Microsoft dankte den Forschern und erklärte, Kunden seien geschützt, ohne selbst tätig werden zu müssen, und ergänzte, man 'aktualisiere kontinuierlich die Schutzmechanismen, um den Schutz gegen ähnliche Techniken zu verstärken'. CoSnitch reiht sich ein in eine Serie von Schwachstellen, die Copilot in den vergangenen Monaten betrafen: EchoLeak zeigte im Juni 2025 bereits die Möglichkeit eines Zero-Click-Angriffs auf den Assistenten; Reprompt nutzte im Januar 2026 einen vergleichbaren Mechanismus aus einem zum Prompt gewordenen Parameter, um den Gesprächsverlauf abzugreifen; SearchLeak, im Juni 2026 als CVE-2026-42824 erfasst, zielte auf die Unternehmensversion und kombinierte Parameter-Injection mit einer Umgehung der Sicherheitsrichtlinie. Microsoft betont, CoSnitch betreffe nur Copilot Personal, die Verbraucherversion, während Microsoft 365 Copilot, die Unternehmensversion, nicht betroffen sei — Varonis weist jedoch darauf hin, dass ein mit beruflichen Daten verknüpftes privates Konto die tatsächliche Angriffsfläche vergrößern könnte.

Für deutsche Unternehmen, die Copilot intern einsetzen, ist der Fall CoSnitch — auch wenn Microsoft ihn offiziell auf die Verbraucherversion beschränkt — eine konkrete Mahnung: Ein KI-Assistent, der mit E-Mail, Dateien und internen Werkzeugen verbunden ist, erbt sämtliche Rechte des Kontos, dem er dient, und eine Lücke in seinen Schutzmechanismen wird damit unmittelbar zu einer Lücke im Zugriff auf Unternehmensdaten. IT-Teams sollten Sicherheitspatches für KI-Assistenten ebenso konsequent einspielen wie Betriebssystem-Updates, die Anzahl der diesen Assistenten gewährten Apps und Konnektoren begrenzen und Mitarbeitende dafür sensibilisieren, Links aus E-Mails oder Chatnachrichten mit Vorsicht zu begegnen — auch solchen, die scheinbar auf ein vertrautes Microsoft-Tool verweisen. Dass der vergiftete Speicher einen Passwortwechsel überdauerte, erinnert zudem daran, dass ein Vorfall mit einem KI-Assistenten sich nicht immer mit den üblichen Abhilfemaßnahmen abschließen lässt.