Auf den Punkt: Microsoft hat eine kritische, per Ein-Klick-Link ausnutzbare Copilot-Schwachstelle namens CoSnitch fast acht Monate nach der Meldung durch Varonis vollständig gepatcht, wobei die Behauptung, Enterprise-Kunden seien nicht betroffen, laut Analysten zu relativieren ist.
Microsoft hat eine als kritisch eingestufte Schwachstelle in der Consumer-Version von Copilot gepatcht, die durch einen einzigen Klick auf einen präparierten Link ausnutzbar war. Zwischen der Meldung durch das Sicherheitsunternehmen Varonis und dem vollständigen Fix lagen fast acht Monate.
Die von Varonis als „CoSnitch“ bezeichnete Schwachstelle nutzte die grundsätzliche Unfähigkeit großer Sprachmodelle aus, zwischen Nutzerdaten und Instruktionen zu unterscheiden. Es ist bereits die dritte Copilot-Lücke, die Varonis in diesem Jahr an Microsoft gemeldet hat, nach „Reprompt“ (Umgehung der Copilot-Guardrails durch wiederholte Anfragen) und „SearchLeak“ (Microsoft 365 Copilot Enterprise als, so Varonis, „stilles Exfiltrationswerkzeug“). Alle drei Lücken teilen dasselbe Ausnutzungsmuster: Ein Klick auf einen legitim wirkenden Link genügt.
CoSnitch kombinierte laut Varonis drei einzelne Copilot-Schwächen. Erstens eine automatische Prompt-Ausführung: Der URL-Parameter „?q=“ führte in Kombination mit einem nicht dokumentierten Parameter dazu, dass ein vom Angreifer eingeschleuster Prompt beim Laden der Seite sofort ausgeführt wurde, ohne Klick, ohne Bestätigung, ohne jede Nutzerinteraktion. Zweitens Datenexfiltration an externe Server: Ein eingeschleuster Prompt konnte verbundene Dienste wie Gmail, Drive, Kalender oder OneDrive abfragen, die Ergebnisse in eine URL kodieren und sie über Copilots eingebaute URL-Fetch-Funktion an einen vom Angreifer kontrollierten Webhook senden. Drittens eine persistente Manipulation des Copilot-Gedächtnisses über die Webseiten-Zusammenfassungsfunktion: Eine präparierte Webseite konnte beim Zusammenfassen durch Copilot Anweisungen in den dauerhaften Speicher des Opfers einschleusen, die selbst Passwortänderungen, Session-Widerruf und Neu-Einrollung von Geräten überdauerten.
Bemerkenswert ist die Entdeckungsmethode: Varonis ließ sich von Copilot selbst erklären, warum eine automatische Ausführung unmöglich sei. Jede Ablehnung enthielt eine technische Begründung, aus der die Forscher die Architektur der Schutzmechanismen rekonstruierten. Durch gezieltes Umformulieren jeder Verweigerung in eine Folgefrage engte sich die Angriffsfläche zunehmend ein, bis Copilot ungefragt einen nicht dokumentierten URL-Parameter samt historischem Verhalten und sämtlichen implementierten Schutzmaßnahmen preisgab. Mit diesen Informationen bauten die Forscher die URL exakt wie beschrieben und lösten die Prompt-Ausführung ohne jede Nutzerinteraktion aus.
Microsoft bestätigte sowohl die Schwachstelle als auch den Fix per Stellungnahme und stufte die Lücke in einem MSRC-Advisory als „kritisch“ ein. Die Aussage des Unternehmens, Enterprise-Kunden von Microsoft 365 Copilot seien nicht betroffen, ist nach Einschätzung von Analysten nicht uneingeschränkt zutreffend: In komplexen Unternehmensumgebungen sind häufig auch Consumer-Copilot-Instanzen über private Konten von Mitarbeitenden im Einsatz, sodass die Lücke in der Personal-Version durchaus auf die Enterprise-Version durchschlagen konnte. Verschärfend kommt hinzu, dass Microsoft nach eigenen Angaben auf eine vereinheitlichte Copilot-Erfahrung namens „Copilot Fusion“ zusteuert, deren Details im vergangenen Monat bereits durchgesickert waren, was die Trennung zwischen Personal- und Enterprise-Schwachstellen für CISOs zusätzlich erschwert.
Auch der zeitliche Ablauf der Behebung war fragmentiert: Varonis meldete CoSnitch am 31. Dezember, Microsoft patchte am 1. Februar zunächst nur die automatische Ausführungsfunktion, wie Lior Adar, Senior Security Researcher bei Varonis, erläuterte. Der vollständige Fix folgte erst am vergangenen Dienstag. CISOs, die Copilot in ihrer Umgebung einsetzen, sollten prüfen, ob Consumer-Instanzen über private Nutzerkonten im Unternehmensnetzwerk aktiv sind, und die Migration zu „Copilot Fusion“ hinsichtlich möglicher übernommener Schwachstellen beobachten.
Quelle: www.csoonline.com · Erschienen 19. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.