Drei Lücken in Microsoft Copilot Personal ermöglichten Datenabfluss per Ein-Klick-Link

Im Zentrum des Angriffswegs steht laut Varonis ein nicht dokumentierter URL-Parameter, den der Assistent während der Tests selbst offengelegt habe. Die Forscher hätten Copilot wiederholt gefragt, warum sich eine Eingabeaufforderung nicht ohne Nutzerinteraktion ausführen lasse. Bei diesem von Varonis als Meta-Hacking bezeichneten Vorgehen habe der Assistent schließlich den Parameter autorun=1 genannt, dazu die Sitzungsbedingungen, unter denen er funktioniere, sowie die Schutzmechanismen, die ihn eigentlich deaktivieren sollten.

Als die Forscher die URL exakt wie beschrieben bauten, wurde der von Copilot als wirkungslos dargestellte Parameter laut Bericht tatsächlich ausgeführt. Varonis formuliert dazu, Copilot sei nicht kompromittiert, sondern ausgespielt worden. Der Angriffslink kombiniert autorun=1 mit dem vorhandenen Parameter q. Nach Angaben der Forscher füllt q allein nur das Eingabefeld vor; erst das Zusammenspiel beider Parameter lasse eine Eingabeaufforderung ohne Nutzeraktion starten. Beginne die Ausführung einmal, laufe sie selbst dann zu Ende, wenn das Opfer den Copilot-Tab direkt nach dem Laden wieder schließe.

Varonis ordnet die Ergebnisse drei Schwachstellen zu. Die ersten beiden bilden den Pfad für den Ein-Klick-Datenabfluss, die dritte einen separaten Weg zur Vergiftung des Speichers über die Web-Zusammenfassung. In Tests habe Copilot Nachrichtentexte, Betreffzeilen sowie Absender- und Empfängermetadaten aus verbundenen E-Mail-Konten zurückgegeben, außerdem Kalendertitel, Teilnehmer, Zeiten und Orte, Dateinamen und Metadaten-Zusammenfassungen aus Google Drive, vollständige frühere Gesprächsinhalte aus dem Chatverlauf sowie gespeicherte Anweisungen und benutzerdefinierte Regeln aus dem Speicherbereich.

Microsofts Dokumentation zu den Konnektoren besagt, dass Nutzer Dienste zunächst autorisieren müssen, bevor Copilot darauf zugreifen kann, und dass verbundene Dienste Anfragen mit den bestehenden Berechtigungen des Nutzers verarbeiten. Nach Darstellung von Microsoft erweitert Copilot diesen Zugriff nicht, sondern arbeitet nur mit Inhalten, die das jeweilige Konto ohnehin einsehen darf.

Für den Datenabfluss sei die Anfrage auf Netzwerkebene laut Varonis nicht von den Abrufen zu unterscheiden, die Copilot auch bei der Zusammenfassung einer gewöhnlichen Webseite ausführt. Zudem könne eine Base64-Kodierung helfen, Filter zu umgehen, die ausgehende Anfragen auf sensible Muster wie Zugangsdaten prüfen.

Beim separaten Speicherpfad erklärte Varonis, eine eingeschleuste Anweisung überdauere Passwortänderungen, das Ungültigmachen von Sitzungen und die erneute Registrierung von Geräten. Aktiv bleibe sie in späteren Unterhaltungen so lange, bis der Nutzer sie in den Speichereinstellungen von Copilot lösche. Zugleich entstehe dabei nach Angaben der Firma kein Prozess, keine Datei, keine Netzwerkverbindung und kein Protokolleintrag, die Sicherheitswerkzeuge markieren würden; sichtbar sei die Änderung nur in Copilots Speicheroberfläche.

Dass die Web-Zusammenfassung unbeabsichtigte Speichereinträge anlegen kann, war Microsoft bereits gemeldet worden. Der Forscher Håkon Måløy dokumentierte eine angreiferkontrollierte Seite, die bei der Nutzung eines Zusammenfassungsablaufs in Microsoft 365 Copilot einen unbeabsichtigten Speichereintrag dauerhaft ablegte, und veröffentlichte dies nach einer 90-Tage-Koordinierungsfrist; der Status auf Microsoft-Seite wurde dabei als „weltweit entschärft“ vermerkt. Johann Rehberger meldete zudem Speicher-Schreib- und Löschvorgänge durch indirekte Prompt-Injection in Microsoft 365 Copilot sowie eine Speicherveränderung im Verbraucherassistenten; diese Forschung ist mit CVE-2026-24299 verknüpft.

Microsoft beschrieb seine Position zu derselben Angriffsklasse in einem Sicherheitsblogbeitrag vom 22. Juni und nannte dabei MSRC-Fälle von Rehberger, Måløy und Gal Zror. Bezogen auf Microsoft 365 erklärte das Unternehmen, Speicherinhalte würden beim Schreiben bereinigt und auf Prompt-Injection geprüft. Außerdem sei M365 Copilot darauf ausgelegt, bei jedem ausdrücklichen Speicherschreibvorgang Prüfungen zur Aufgabenbindung auszuführen; Speicheraktualisierungen würden in Audit-Protokollen von Organisationen erfasst und über ein Feld namens MemoryUpdated in Defender Advanced Hunting und Sentinel sichtbar gemacht.

Varonis rät dazu, die mit Copilot verbundenen Anwendungen zu überprüfen und nicht benötigte Verbindungen zu trennen. Zudem solle der Assistent bei Zugriffsprüfungen und der Erkennung von Anomalien wie ein privilegierter Insider behandelt werden. Ein Client-Update, das Nutzer selbst installieren müssten, nannte das Unternehmen nicht. Laut Varonis bleiben eingeschleuste Speichereinträge bestehen, bis sie ausdrücklich entfernt werden; ob Microsoft mit der Behebung auch bereits vor dem Patch angelegte Einträge rückwirkend entfernt hat, geht aus der Offenlegung nicht hervor.

Die Veröffentlichung folgt weniger als zwei Wochen nach einem weiteren Bericht desselben Teams über RovoBlast, einen Ein-Klick-Angriff auf Atlassians Assistenten Rovo. Dabei wurde laut Varonis der URL-Parameter rovoChatPrompt missbraucht, um angreiferkontrollierte Anweisungen in die Sitzung eines angemeldeten Nutzers einzuschleusen. Atlassian habe das Problem vor der öffentlichen Bekanntgabe behoben.