Microsoft Copilot: Geheimer URL-Parameter erlaubte Hack ohne Nutzerinteraktion

Sicherheitsforscher von Varonis haben eine erstaunliche Schwachstelle in Microsoft Copilot entdeckt - und zwar indem sie Copilot einfach direkt fragten. Der Angriff wurde unter dem Namen “Co-Snitch” bekannt.

Der geheime Parameter

Der Kern des Problems war ein undokumentierter URL-Parameter ?autorun=1. Kombiniert mit dem bekannten ?q=-Parameter konnte dieser jede Eingabe automatisch und ohne Nutzergeste ausführen. Ein Opfer musste lediglich auf einen präparierten Link klicken - schon wurde der Prompt mit vollem Zugriff auf die Copilot-Sitzung, verbundene Apps und Postfach ausgeführt.

Prompt-Injection-Angriff

Ein Beispiel-Prompt durchsuchte das Postfach nach der neuesten E-Mail, extrahierte die Absenderadresse und sendete sie als base64-kodierte Daten an einen Server der Angreifer. Eine Variante suchte gezielt nach Passwörtern und Zugangsdaten. Alles passierte unsichtbar - der Tab konnte sofort geschlossen werden, der Prompt lief trotzdem weiter.

Memory-Poisoning

In einem zweiten Angriff vergifteten die Forscher Copilots persistenten Gedächtnisspeicher. Versteckte Anweisungen in Webseiten-Metadaten brachten Copilot dazu, falsche “Erinnerungen” zu speichern. Diese überlebten Passwortwechsel, Sitzungs-Widerrufe und Geräte-Neuregistrierungen - nur manuell in den Memory-Contents zu finden.

Microsofts Reaktion

Microsoft reagierte erst nach drei Monaten und entfernte die automatische Prompt-Ausführung. Zusätzliche Fixes folgten am 18. August 2026. Der Vorfall zeigt einmal mehr, dass LLM-Sicherheit auf reaktiven Guardrails statt proaktivem Architekturschutz basiert - und diese Guardrails regelmäßig versagen.

Original: Microsoft Copilot reveals secret input - Ars Technica