Microsoft Copilot: Geheimer URL-Parameter erlaubte Hack ohne Nutzerinteraktion

Sicherheitsforscher von Varonis haben eine erstaunliche Schwachstelle in Microsoft Copilot entdeckt - und zwar indem sie Copilot einfach direkt fragten. Der Angriff wurde unter dem Namen “Co-Snitch” bekannt.

Der geheime Parameter

Der Kern des Problems war ein undokumentierter URL-Parameter ?autorun=1. Kombiniert mit dem bekannten ?q=-Parameter konnte dieser jede Eingabe automatisch und ohne Nutzergeste ausfuehren. Ein Opfer musste lediglich auf einen präparierten Link klicken - schon wurde der Prompt mit vollem Zugriff auf die Copilot-Sitzung, verbundene Apps und Postfach ausgefuehrt.

Prompt-Injection-Angriff

Ein Beispiel-Prompt durchsuchte das Postfach nach der neuesten E-Mail, extrahierte die Absenderadresse und sendete sie als base64-kodierte Daten an einen Server der Angreifer. Eine Variante suchte gezielt nach Passwoertern und Zugangsdaten. Alles passierte unsichtbar - der Tab konnte sofort geschlossen werden, der Prompt lief trotzdem weiter.

Memory-Poisoning

In einem zweiten Angriff vergifteten die Forscher Copilots persistenten Gedaechtnisspeicher. Versteckte Anweisungen in Webseiten-Metadaten brachten Copilot dazu, falsche “Erinnerungen” zu speichern. Diese ueberlebten Passwortwechsel, Sitzungs-Widerrufe und Geraete-Neuregistrierungen - nur manuell in den Memory-Contents zu finden.

Microsofts Reaktion

Microsoft reagierte erst nach drei Monaten und entfernte die automatische Prompt-Ausfuehrung. Zusaetzliche Fixes folgten am 18. August 2026. Der Vorfall zeigt einmal mehr, dass LLM-Sicherheit auf reaktiven Guardrails statt proaktivem Architekturschutz basiert - und diese Guardrails regelmaessig versagen.

Original: Microsoft Copilot reveals secret input - Ars Technica