Auf den Punkt: Drei von Varonis gemeldete Copilot-Personal-Schwachstellen erlaubten unbemerkten Datenabfluss aus verknüpften Diensten sowie dauerhafte, unsichtbare Manipulation des Copilot-Speichers – Microsoft schloss die Kernlücke (CVE-2026-24301) am 18. August, ohne rückwirkende Bereinigung bestehender Speichereinträge zu bestätigen.
Varonis Threat Labs hat drei Schwachstellen in Microsoft Copilot Personal aufgedeckt, über die Angreifer ohne echte Nutzerinteraktion auf E-Mails, Kalender und Dateien zugreifen und dauerhaft manipulierte Anweisungen im Copilot-Speicher hinterlegen konnten. Microsoft hat die als CVE-2026-24301 registrierte Kernlücke am 18. August geschlossen, gemeldet hatte Varonis sie bereits im Dezember 2025.
Varonis-Forscher fanden einen undokumentierten URL-Parameter (autorun=1), indem sie Copilot wiederholt fragten, warum sich ein Prompt nicht ohne Nutzerinteraktion ausführen lasse – eine Vorgehensweise, die Varonis als „Meta-Hacking“ bezeichnet. Da jede Ablehnung des Systems eine technische Begründung enthielt, gab Copilot am Ende selbst den Parameter, die nötigen Sitzungsbedingungen und die eigentlich vorgesehenen Schutzmechanismen preis. Kombiniert mit dem bereits bekannten Parameter q, der normalerweise nur das Eingabefeld vorausfüllt, ließ sich damit ein Prompt vollautomatisch innerhalb der authentifizierten Sitzung eines Opfers ausführen, sobald die entsprechende Seite geladen wurde – der Prompt lief laut Varonis sogar dann vollständig zu Ende, wenn das Opfer den geöffneten Tab sofort wieder schloss.
Der ausgeführte Prompt konnte anschließend Dienste abfragen, die der Nutzer zuvor bereits mit Copilot verknüpft hatte, die abgerufenen Daten kodieren und über Copilots eingebaute Web-Retrieval-Funktion an einen vom Angreifer kontrollierten Webhook senden. Varonis betont, dass die Technik weder Copilots Berechtigungen bei den jeweiligen Anbietern noch den bestehenden Zugriff des Nutzers erweiterte – der Angriff blieb also innerhalb der ohnehin vorhandenen Rechte. In eigenen Tests erhielten die Forscher auf diesem Weg vollständige Nachrichtentexte, Betreffzeilen sowie Absender- und Empfängerangaben aus verbundenen E-Mail-Konten, Kalenderdaten inklusive Teilnehmer, Zeiten und Orte, Dateinamen und Metadaten aus Google Drive sowie den vollständigen Inhalt früherer Unterhaltungen inklusive gespeicherter Anweisungen aus dem Copilot-Speicher.
Eine dritte, separate Schwachstelle betrifft die Speicherfunktion selbst: Lässt sich Copilot eine präparierte Webseite zusammenfassen, kann der Assistent dabei vom Angreifer vorgegebene Anweisungen dauerhaft in den persönlichen Speicher des Nutzers schreiben. Diese eingeschleusten Anweisungen überstehen laut Varonis sogar einen Passwortwechsel, eine Sitzungssperrung und eine erneute Geräteregistrierung und bleiben aktiv, bis der Nutzer sie eigenständig aus den Speichereinstellungen entfernt – ohne dass dabei ein für Sicherheitswerkzeuge sichtbarer Prozess, eine Datei, eine Netzwerkverbindung oder ein Protokolleintrag entsteht. Vergleichbare Angriffe auf die Speicherfunktion von Microsoft 365 Copilot waren bereits von anderen Forschern gemeldet worden, worauf Microsoft im Juni mit zusätzlichen Prüfungen beim Schreiben neuer Speichereinträge und entsprechender Protokollierung reagierte.
Für CISOs ergibt sich aus dem Fall vor allem die Notwendigkeit, KI-Assistenten mit persistentem Speicher und Dienstverknüpfungen im eigenen Access-Review-Prozess wie einen privilegierten internen Nutzer zu behandeln. Varonis empfiehlt konkret, regelmäßig zu prüfen, welche Anwendungen tatsächlich mit Copilot verbunden sind, nicht mehr benötigte Verknüpfungen zu entfernen und bei Links, die KI-Assistenten öffnen, grundsätzlich Vorsicht walten zu lassen. Ein separates, von Nutzern zu installierendes Client-Update nennt Microsoft nicht, und unklar bleibt auch, ob vor dem Patch erzeugte Speichereinträge durch die Korrektur rückwirkend entfernt wurden – ein Punkt, den Unternehmen im Zweifel selbst über die Copilot-Speichereinstellungen ihrer Nutzer nachprüfen sollten.
Quelle: www.it-daily.net · Erschienen 19. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.