Im Zentrum der Varonis-Forschung steht ein Ansatz, den das Unternehmen als „Meta-Hacking“ beschreibt: Nicht nur der eigentliche Prompt wurde ausgenutzt, sondern zunächst das System selbst dazu gebracht, Informationen über seine Architektur offenzulegen. Autor des begleitenden Blogbeitrags ist der leitende Sicherheitsforscher Lior Adar. Er zufolge gelang es den Forschern, eine Copilot-Personal-Instanz sozial zu manipulieren, sodass sie sicherheitsrelevante Details preisgab.
Varonis begann nach eigenen Angaben mit Fragen dazu, wie sich Prompts ohne direkte Nutzerinteraktion ausführen lassen. Der Chatbot habe wiederholt erklärt, dass Prompts eine Nutzerabsicht voraussetzen. Dabei habe er jedoch zugleich technische Einzelheiten über sein eigenes Verhalten verraten. Durch unauffällige Anschlussfragen zu URL-Strukturen, Deep Links und der Prompt-Verarbeitung hätten die Forscher schrittweise Teile der Copilot-Architektur kartiert und einen möglichen Angriffsweg identifiziert.
Laut Varonis legte Copilot offen, dass sich Prompts über URL-Parameter übergeben lassen. Zudem habe sich gezeigt, dass eine bestimmte Parameterkombination dazu führen konnte, dass ein Prompt beim Laden der Seite automatisch ausgeführt wird. Die Forscher bauten daraufhin einen speziell präparierten Link, der laut Varonis die bestehenden Schutzmechanismen von Microsoft umgehen konnte, ohne weitere Interaktion nach dem Klick zu erfordern. Es handelte sich demnach um einen normalen Copilot-Link auf copilot.microsoft.com, ergänzt um „/?q=<bösartiger_Prompt>&autorun=1*“.
Vor der Korrektur durch Microsoft konnte nach Darstellung von Varonis insbesondere der nicht dokumentierte Parameter „?autorun=1“ in Kombination mit einem Abfrageparameter die automatische Ausführung eines eingebetteten Prompts auslösen. Ein Angreifer hätte einen solchen Link an ein Opfer senden können. Nach dem Anklicken hätte der eingebettete Befehl innerhalb der authentifizierten Sitzung des Opfers agieren und Informationen aus angebundenen Diensten wie Gmail, Google Drive, Google Calendar, dem Copilot-Speicher und dem Copilot-Chatverlauf abrufen können.
Varonis nennt als mögliche Folgen neben Datenabfluss auch dauerhafte Speichervergiftung, Aufklärung, die Einschleusung von Desinformation zur Beeinflussung späterer Prompts sowie weitere bösartige Aktionen. Gleichzeitig betont das Unternehmen, dass der neuartige Teil der Untersuchung in der vorgelagerten „Meta-Hacking“-Komponente liege. Adar sagte gegenüber Dark Reading, Varonis habe mit Copilot gesprochen und „es hat uns die Schlüssel ausgehändigt“.
Microsoft bestätigte gegenüber Dark Reading, dass keine Kundenmaßnahmen notwendig seien. Ein Sprecher erklärte: „Wir danken Varonis Threat Labs dafür, dass sie dies im Rahmen einer koordinierten Offenlegung von Schwachstellen gemeldet haben. Unsere Kunden sind bereits geschützt und müssen nichts unternehmen.“ Weiter hieß es, Microsoft aktualisiere fortlaufend seine Schutzmechanismen, um die Abwehr gegen ähnliche Techniken zu stärken.
Nach Angaben von Microsoft betrifft CoSnitch keine Unternehmenskunden und ausschließlich Copilot Personal. Adar wies jedoch darauf hin, dass persönliche Assistenten dennoch an unternehmensrelevante Daten angebunden sein können, etwa über weitergeleitete geschäftliche E-Mails in privates Gmail, Zugangsdaten in persönlichen Konten oder Arbeitsdokumente in einem privaten Drive. Zugleich betonte er, das zugrunde liegende Muster sei kein ausschließliches Microsoft-Problem, sondern tauche auch bei anderen Herstellern und Produkten auf.