Microsoft schließt kritische Copilot-Lücke „CoSnitch“

Was ist passiert? Microsoft hat am 18. August 2026 die kritische Copilot-Schwachstelle CVE-2026-24301 gepatcht — gemeldet worden war sie von Varonis Threat Labs bereits im Dezember 2025, also rund acht Monate zuvor. Die Forscher tauften den Angriff „CoSnitch“; ihr Bericht trägt den Titel „When Your AI Assistant Becomes Its Own Whistleblower“.

Wie funktionierte der Angriff? CoSnitch verkettete drei Schwächen in Copilot Personal: Ein undokumentierter URL-Parameter (autorun=1) führte präparierte Prompts beim Seitenaufruf automatisch aus — ein einziger Klick auf einen Link genügte. Der bösartige Prompt konnte dann über verbundene OAuth-Apps E-Mails, Dateinamen und Termine aus Gmail, Google Drive und Kalender auslesen und an Angreifer-Webhooks senden.

Was machte die Lücke besonders gefährlich? Die dritte Komponente: Memory Poisoning. Über Web-Zusammenfassungen ließen sich Anweisungen dauerhaft in den Erinnerungsspeicher des Nutzers einschleusen — sie überlebten Passwortwechsel und Session-Widerrufe. Bemerkenswert ist auch die Methode der Entdeckung: Die Forscher brachten Copilot durch gezielte Fragen dazu, seine eigene Architektur samt undokumentierter Parameter offenzulegen.

Gab es Schäden? Laut Microsoft und Varonis gibt es keine Hinweise auf Ausnutzung in freier Wildbahn. Kritik gibt es dennoch: CSO Online hebt die lange Zeitspanne von fast acht Monaten zwischen Meldung und Patch hervor.

Was ist die Lehre? KI-Assistenten mit OAuth-Zugriff auf Mail, Kalender und Dateien sind ein neues, hochwertiges Angriffsziel: Prompt-Injection wird zur Datenexfiltration. Unternehmen sollten Berechtigungen von KI-Assistenten regelmäßig prüfen, Memory-Funktionen auditieren und URL-Parameter-Ausführung ohne Nutzerbestätigung als rotes Tuch behandeln.