Article
Kritische Microsoft Copilot Lücke: 2FA-Codes per Prompt Injection gestohlen
Die Schwachstelle
Microsoft hat am vergangenen Dienstag eine als “kritisch” eingestufte Lücke in M365 Copilot gepatcht. Security-Firma Varonis zeigt nun, wie ihre Proof-of-Concept-Exploit-Kette funktioniert.
Was SearchLeak kann
- 2FA-Codes aus E-Mails extrahieren
- Sensible Daten stehlen
- Microsoft Guardrails umgehen
Das Grundproblem
LLM-Glaubwürdigkeit
LLMs können nicht unterscheiden zwischen:
- Benutzeranweisungen (legitim)
- Inhalt von Dokumenten/E-Mails (potenziell bösartig)
Die Folge:
Wenn ein LLM eine E-Mail mit versteckten Anweisungen liest, führt es diese aus.
Die Workarounds
Microsoft hat mehrere Schutzmechanismen eingebaut:
- Keine Webformulare/E-Mails senden durch Copilot
- Output in
<code>-Blöcken (Browser interpretiert als Text) - Domain-Beschränkungen für externe Requests
Der Exploit
Varonis entwickelte eine Exploit-Kette, die diese Guardrails umging:
1. Parameter-to-Prompt Injection
Statt Prompt Injection in E-Mails zu verstecken, nutzen Angreifer den URL-Parameter q:
https://copilot.microsoft.com/?q=[MALICIOUS_PROMPT]
2. Markup Language Bypass
Da HTML-Tags blockiert werden, nutzen Angreifer:
- Markdown-Links für Exfiltration
- Versteckte Bilder mit URLs zu kontrollierten Servern
3. Data Exfiltration
Das LLM:
- Liest die bösartige Anweisung
- Sucht nach sensiblen Daten (2FA-Codes, etc.)
- Sendet Daten an kontrollierten Server
Warum das wichtig ist
Ein strukturelles Problem
Das ist kein einfacher Bug. Es ist ein fundamentales Design-Problem von LLMs:
LLMs sind per Design anfällig für Prompt Injection, weil sie nicht zwischen Instruktionen und Daten unterscheiden können.
Microsofts Dilemma
Microsoft und andere LLM-Anbieter bauen Guardrails – aber:
- Jede Schicht fügt Komplexität hinzu
- Angreifer finden immer neue Bypässe
- Die Grundarchitektur bleibt verwundbar
Die Lehre
Für Nutzer
- Niemals sensible Daten in KI-Systemen speichern, die Prompt Injection ermöglichen könnten
- 2FA-Codes nicht per E-Mail an Konten mit KI-Zugriff senden
Für Entwickler
- LLM-Sicherheit ist nicht durch “mehr Guardrails” lösbar
- Sensible Daten sollten gar nicht erst vom LLM erreichbar sein
- Access Control ist wichtiger als Prompt-Filtering
Links: Ars Technica