Copilot verriet den eigenen Hack: Microsoft patcht nach 8 Monaten

Was ist passiert? Microsoft hat am 18. August drei verkettete Schwachstellen in Copilot Personal geschlossen, die Sicherheitsforscher von Varonis unter dem Namen „CoSnitch" (CVE-2026-24301) gemeldet hatten — bereits im Dezember 2025. Zwischen Meldung und vollständigem Patch lagen damit rund acht Monate.

Wie lief der Angriff? Ein einziger Klick auf einen präpariert aussehenden Link reichte. Ein undokumentierter URL-Parameter namens autorun=1 führte eine mitgelieferte Prompt-Anweisung ohne Nutzerbestätigung aus. Darüber ließen sich Daten aus verbundenen Diensten abziehen — E-Mail-Inhalte samt Klartext-Zugangsdaten, Kalendereinträge, Dateinamen aus Google Drive und der Copilot-Chatverlauf. „One click on a legitimate-looking link is enough", so die Varonis-Forscher.

Was macht den Fall besonders? Die Entdeckungsmethode. Die Forscher „hackten" Copilot nicht klassisch, sondern befragten den Assistenten so lange zu seiner eigenen Sicherheitslogik, bis er den geheimen Parameter selbst preisgab. „Copilot wasn't breached; it was played", sagt Varonis-Forscher Lior Adar. Dazu kam eine dritte Komponente: Über präparierte Webseiten ließ sich Copilots Langzeitgedächtnis dauerhaft vergiften — die Manipulation überlebte sogar Passwort-Wechsel und Geräte-Neuanmeldung.

Wie reagiert Microsoft? Der Konzern betont, Copilot erweitere keine Berechtigungen: Verbundene Dienste arbeiten im Rahmen der bestehenden Kontozugriffe. Hinweise auf aktive Ausnutzung gibt es laut beiden Seiten nicht. Die Patches sind serverseitig ausgerollt, Nutzer müssen nichts tun.

Was ist die Lehre? KI-Assistenten mit Kontozugriff sind ein neues Angriffsziel mit alten Schwächen — und die Auskunftsfreude der Modelle selbst wird zum Aufklärungswerkzeug für Angreifer. Wer Copilot, Gemini und Co. mit Mail und Kalender verbindet, sollte die verbundenen Dienste regelmäßig prüfen und Gedächtnisfunktionen im Blick behalten.

Dieser Artikel wurde KI-gestützt erstellt und redaktionell geprüft.