Eine Mitarbeiterin öffnet eine Webseite. Mehr braucht es nicht.

Eine Mitarbeiterin eines mittelständischen Unternehmens ist bei Microsoft Copilot Personal angemeldet, wie mittlerweile die meisten Beschäftigten zumindest zeitweise während des Arbeitstages. Sie öffnet eine Webseite, die ihr jemand geschickt hat, oder ein geteiltes Dokument, das wie jede andere Datei in ihrem Posteingang liegt. Sie liest einen Absatz, schließt den Tab und macht weiter. An der Seite wirkt nichts falsch. Sie klickt keinen Link darin an, lädt nichts herunter und gibt nirgendwo ein Passwort ein.

Genau dieser eine Vorgang, das Öffnen der Seite, ist bereits der gesamte Angriff. Die Sicherheitsforschungsfirma Varonis stellte fest, dass ein versteckter Prompt in unauffällig wirkendem Inhalt genügt, damit Copilot den Anweisungen eines Angreifers folgt, sobald es diesen Inhalt liest - innerhalb der Sitzung, die sie bereits geöffnet hat. Varonis nannte die Schwachstelle SearchLeak und legte sie zusammen mit zwei weiteren Schwachstellen in Copilot Personal offen.

Zwei Schwachstellen, verkettet, ergeben vollen Datenzugriff

Die SearchLeak-Kette verbindet zwei getrennte Schwächen. Erstens gestaltet ein Angreifer eine Webseite oder ein Dokument mit einem versteckten, bösartigen Prompt, der wie gewöhnlicher Text oder Metadaten wirkt und nicht wie eine Anweisung. Zweitens führt der versteckte Prompt automatisch innerhalb der authentifizierten Sitzung aus, sobald ein Opfer, das bereits bei Copilot angemeldet ist, diese Seite besucht oder das Dokument öffnet. Kein weiterer Klick, kein Bestätigungsdialog und keine zweite Warnung stehen zwischen dem Laden der Seite und der Ausführung des Prompts.

Sobald der Prompt mit ihrer Berechtigung läuft, weist er Copilot an, alles abzufragen, worauf das Opfer bereits Zugriff gewährt hat: ihre E-Mails, ihre Dateien und jede verbundene Drittanbieter-App. Copilot bittet sie dabei nicht um Bestätigung, denn aus seiner eigenen Sicht führt es lediglich eine Anweisung innerhalb einer legitimen, bereits authentifizierten Sitzung aus.

Der letzte Schritt ist die Exfiltration, und auch dafür liefert Copilot selbst das Werkzeug. Mit seiner eingebauten Fähigkeit, URLs abzurufen, sendet der kompromittierte Assistent die gesammelten Daten an einen vom Angreifer kontrollierten Webhook. Die Sitzung des Opfers, ihre Berechtigungen und Copilots eigene Funktionen arbeiten dabei genau wie vorgesehen. Nichts in dieser Kette verlangt von ihr einen Fehler.

Eine zweite Tür: Copilots Gedächtnis vergiften

Varonis legte zusätzlich zur SearchLeak-Kette eine dritte, eigenständige Schwachstelle offen, erreichbar über Copilots Funktion zur Zusammenfassung von Webseiten. Statt Daten in einem einzigen Durchgang abzuziehen, erlaubt dieser Weg einem Angreifer, falsche oder manipulierte Informationen in das einzupflanzen, was sich Copilot über eine Nutzerin merkt - eine Vergiftung des Gedächtnisses über Inhalte, die der Assistent zusammenfassen soll.

Das ist bedeutsam, weil daraus aus einer einzelnen schlechten Webseite ein anhaltendes Problem wird statt eines einmaligen Ereignisses. Das Gedächtnis eines Assistenten soll ihn über die Zeit nützlicher machen, indem es Kontext zwischen Sitzungen mitträgt. Ein vergiftetes Gedächtnis trägt den Einfluss eines Angreifers auf genau dieselbe Weise zwischen Sitzungen weiter, lange nachdem die Seite, die ihn eingepflanzt hat, längst geschlossen wurde.

Warum das kein Phishing ist

Klassisches Phishing setzt darauf, eine Person zu täuschen: diesen Link anklicken, hier das Passwort eingeben, diese Anmeldung bestätigen. Sicherheitsschulungen existieren, um genau diesen Moment menschlicher Entscheidung abzufangen. Bei SearchLeak gibt es diesen Moment nicht. Das Opfer klickte keinen bösartigen Link an, gab keine Zugangsdaten ein und sah nichts, das wie eine zu ignorierende Warnung aussah.

Der Angriff löst aus, wenn der KI-Assistent Inhalte liest, nicht wenn der Mensch etwas anklickt. Das ist ein völlig anderer Auslöser, der außerhalb von allem liegt, wofür Schulungen zu 'keine verdächtigen Links anklicken' gedacht waren. Eine Mitarbeiterin, die sich an jeden bestehenden Standard gehalten hat, hätte diese Kette dennoch allein durch das Öffnen einer ihr zugeschickten Datei auslösen können.

Darin liegt der Kern des neuen Risikos. Ein KI-Copilot mit bestehendem, bereits autorisiertem Zugriff auf die E-Mails, Dateien und verbundenen Apps einer Person wird zu einem einzigen Punkt der Kompromittierung, sobald er dazu verleitet werden kann, Anweisungen zu befolgen, die in bloß gelesenen Inhalten versteckt sind. Genau die Nützlichkeit des Assistenten, in Ihrem Namen zu handeln, ohne dass Sie jeden Schritt erneut bestätigen müssen, ist dieselbe Eigenschaft, die diesen Angriff möglich macht.

Was Unternehmen in der EU und im Vereinigten Königreich wirklich prüfen sollten

Microsoft stufte SearchLeak als kritisch ein und hat die Schwachstelle bereits behoben, sodass der hier beschriebene konkrete Fehler geschlossen ist. Das ist eine gute Nachricht und nicht der Grund, weiterzulesen. Das Muster, zu dem sie gehört, Prompt Injection über Inhalte, die ein KI-Assistent passiv verarbeitet, statt über Inhalte, die ein Mensch aktiv anklickt, verschwindet damit nicht und wird bei irgendeinem anderen verbundenen Assistenten mit einem anderen Auslöser wiederkehren.

Für jedes Unternehmen, das gerade Microsoft 365 Copilot oder einen ähnlich verbundenen KI-Assistenten einführt, besteht die sinnvolle Übung nicht nur darin, Mitarbeiter im Erkennen verdächtiger Links zu schulen. Es geht darum zu fragen, wozu dieser Assistent mit seinem bestehenden Zugriff verleitet werden kann, und 'Prompt Injection über passiv verarbeitete Inhalte' als eigenen Punkt in Risikobewertungen von Anbietern zu behandeln. Weil dieser bestehende Zugriff typischerweise personenbezogene Daten berührt, gehört dies auch in Risikobewertungen zur Datenverarbeitung nach der DSGVO, nicht nur in den IT-Sicherheits-Rückstand.

Weiterlesen: Frankreichs Fiskus ist von seinen eigenen DSGVO-Bußgeldern befreit  |  Verstecktes KI-Denken durch günstige Modelle geleakt