Auf den Punkt: Eine AI-Worm-Schwachstelle nutzt Copilot als Verbreitungsmechanismus und umgeht traditionelle Enterprise-Schutzmaßnahmen wie DLP und E-Mail-Security, weil das Dokument erst bei der Verarbeitung durch Copilot schädlich wird.
Ein norwegischer KI-Forscher hat eine Schwachstelle gezeigt, mit der sich Anweisungen in Word-Dokumenten verstecken lassen, die bei Copilot-gestützten Bearbeitungen selbstreproduzierende Malware auslösen. Microsoft hat teilweise Abhilfe geschaffen, bestätigte aber noch keine komplette Behebung.
Der Forscher Håkon Måløy hat demonstriert, dass versteckte Anweisungen in Dokumenten eingebettet werden können, die später als Eingabematerial für Copilot-gestützte Workflows dienen – etwa bei der Generierung oder Bearbeitung von Finanzberichten. Wenn Copilot diese Anweisungen verarbeitet, können sie Werte im neu erstellten Dokument manipulieren und kopieren sich gleichzeitig selbst in das Zieldokument. Dadurch wird das neue Dokument zum Träger des Angriffs und kann die Worm bei der nächsten Copilot-Verwendung weitergeben. Måløy beschreibt dies als eine der ersten öffentlichen Demonstrationen von dokumentgebundener, selbstreproduzierender AI-Malware in einer gängigen kommerziellen Produktivitätssuite.
Das Kernproblem liegt in der Bypässe traditioneller Sicherheitskontrollen. Aman Mahapatra, Chief Strategy Officer bei Tribeca Softtech, erklärt: Die Worm umgeht E-Mail-Security-Kontrollen, weil das Dokument bei der Übermittlung nicht schädlich ist, sondern erst durch Copilots Verarbeitung wird. Sie umgeht auch Data Loss Prevention (DLP), da die Datenexfiltration über die autorisierte Copilot-Sitzung des Nutzers erfolgt. Endpoint Protection wird umgangen, weil keine Code ausgeführt wird – nur Anweisungen von einem vom Unternehmen explizit genehmigten Service befolgt werden. Mahapatra betont, dass Forscher diesen Angriffstyp bereits zwei Jahre lang vor dem Risiko warnen.
Måløy arbeitet seit 3. März 2024 mit dem Microsoft Security Response Center (MSRC) zusammen. Microsoft hat mehrere kleinere, gezielte Mitigationen implementiert und verteilt, die Angriffe weniger zuverlässig und ihre Reichweite begrenzt machen. Die zugrunde liegende Schwachstelle ist aber noch nicht vollständig behoben. Måløy hätte zunächst gezögert, eine noch aktive Schwachstelle öffentlich zu machen, sah sich aber zur Veröffentlichung verpflichtet: Defensoren können ein Risiko nicht reduzieren, das ihnen unbekannt ist, und dieser Verbreitungsmechanismus betrifft normale Dokument-Workflows, auf die viele Organisationen bereits angewiesen sind.
Microsoft bestätigte die Erkenntnisse und erklärte, Schutzmaßnahmen an mehreren Stellen zu blockieren und eine mehrschichtige Sicherheitsstrategie zu verfolgen. Das Unternehmen empfiehlt Kunden, die neuesten Updates zu installieren, mehrere Sicherheitsebenen zu nutzen, Inhalte aus unbekannten Quellen mit Vorsicht zu behandeln und von Copilot generierte Inhalte vor Verwendung zu überprüfen.
Quelle: www.csoonline.com · Erschienen 31. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.