In vielen Unternehmen gilt Microsoft 365 Copilot für Word längst als praktische Hilfe beim Erstellen und Überarbeiten von Texten. Eine aktuelle Offenlegung macht jedoch deutlich, dass in Dokumenten versteckte Anweisungen missbraucht werden können: Copilot kann diese Befehle nicht nur aus der Quelle „mitnehmen“, sondern sie sogar in ein neu erzeugtes Dokument übertragen und erneut ausführen. Das erhöht das Risiko für unerwartete Änderungen an Inhalten — besonders in Berichten mit Zahlen und Bewertungen.
Im Folgenden fassen wir die Kernaussagen der Recherche zusammen, ordnen die Angriffsidee ein und geben konkrete Empfehlungen, wie Teams mit externen Dateien und Copilot-Ergebnissen umgehen können.
Wie Microsoft Copilot für Word versteckte Prompts übernehmen kann
Der berichtete Mechanismus dreht sich um das Verhalten von Copilot beim Entwerfen oder Bearbeiten eines Dokuments. Wenn ein Angreifer ein Word-Dokument so präpariert, dass im Text „versteckte“ Anweisungen enthalten sind, kann Copilot diese Instruktionen als Teil der Aufgabenstellung missverstehen. Das führt dazu, dass Copilot nicht nur einen Bericht normal ausarbeitet, sondern die eingebetteten Kommandos in seine Ausgabe einbaut.
Besonders kritisch wird die Sache dadurch, dass Copilot die Befehle in einem neu erzeugten, intern erstellten Dokument wiederverwendet. Dadurch kann eine Kette entstehen: Das Ergebnis des ersten Copilot-Durchlaufs enthält die manipulierten Inhalte, und ein nachfolgender Draft oder Edit kann diese wiederum weitertragen.
Warum die Manipulation schwerer nachvollziehbar ist
Die Recherche beschreibt die Manipulation als mehrstufige Kette, die nicht „von selbst“ weiterläuft. Jede Übertragung erfordert eine neue Copilot-Aktion — also einen weiteren Entwurf oder eine Bearbeitung. Dennoch bleibt das Risiko bestehen, weil die Quelle zu einem späteren Zeitpunkt im Dokument nicht mehr als ursprüngliches, auffälliges Artefakt sichtbar ist.
Ein zentraler Punkt der Argumentation lautet: Sobald Copilot die versteckten Anweisungen in ein intern generiertes Dokument kopiert hat, ist die ursprüngliche Quelle in der nächsten Sitzung nicht mehr vorhanden. Für Prüfer bedeutet das, dass der Herkunftsnachweis (Provenance Trail) eher abreißen kann. Die Manipulation wird dadurch schwerer zu verfolgen.
Welche Rolle Dateikontext und Work IQ spielen
Damit der Angriff funktioniert, muss das präparierte Dokument in den Kontext gelangen, den Copilot beim Erstellen oder Bearbeiten heranzieht. Laut Bericht ist der Weg nicht „Zero-Click“ und es wird keine klassische Schadsoftware gestartet. Stattdessen braucht es den Prozessschritt: eine Copilot-Drafting- oder Edit-Operation.
Im beschriebenen Szenario kommt es vor allem darauf an, wie Copilot die verfügbaren Quellen auswählt. Microsofts Intelligence-Engine hinter Microsoft 365 Copilot wird als Work IQ bezeichnet. Sie soll dabei helfen, relevante Dateien zu finden, indem unter anderem OneDrive-Quellen berücksichtigt werden, die vom Nutzer in der jeweiligen Situation bereitgestellt oder ausgewählt wurden.
Die Recherche nennt auch einen beobachteten Ablauf: Copilot fand in einem Fall ein bösartig präpariertes Dokument außerhalb des Ordners mit den übrigen Quellen für eine Quartalsanalyse. Anschließend wurde es trotzdem in den Kontext aufgenommen — allerdings nur, wenn Work IQ das Dokument weiterhin als relevant einstufte.
Was passiert inhaltlich im Proof of Concept
Im Proof of Concept wurden konkrete Veränderungen an Finanzkennzahlen beobachtet. In einem Testbericht sollen sämtliche finanziellen Werte halbiert worden sein. Zusätzlich beschrieb der Bericht, dass Copilot die vollständigen versteckten Anweisungen in der Ausgabe wiedergeben konnte — visuell scheinbar „unterdrückt“ durch eine Gestaltung, die für den Leser weniger auffällig ist (u. a. als weiß gedruckter, achtpunktiger Text).
Wichtig ist: Die Recherche stellt klar, dass auch nach einem zweiten Copilot-Durchlauf der Effekt reproduzierbar war. Das legt nahe, dass das Verhalten nicht nur einmalig, sondern als Angriffskette funktionieren kann.
Word verändert beim Senden den Text – und das macht Anweisungen lesbar
Ein technisch relevanter Aspekt: Word entfernt vor dem Versand an das Large-Language-Modell bestimmte Formatierungen wie Farb- und Schriftgrößeninformationen. Dadurch können ursprünglich „getarnte“ Anweisungen für das Modell besser erkennbar werden. Im Ergebnis bleiben Anweisungen, die für menschliche Leser weniger sichtbar sind, für Copilot im Modellkontext offenbar gut lesbar.
Die Recherche beschreibt zudem, dass ein Teil der Nutzlast das Dokument selbst verändert, während ein anderer Teil Copilot dazu anweist, die Kommandos zu kopieren und zu verdecken. Dabei werden diese Befehle eingerahmt als Anforderungen an Lesbarkeit oder Quellennachvollziehbarkeit.
Welche Abwehrmaßnahmen hat Microsoft vorgenommen?
Laut Zeitlinie hat Microsoft das gemeldete Verhalten bestätigt und zwei Mitigations eingesetzt. Zuerst wurde offenbar das blockiert, was als ursprüngliche Prompt-Formulierung im Dokument erkennbar war. Danach wurde das zugrunde liegende Modell aktualisiert — im Bericht wird konkret auf eine Verbesserung Richtung GPT-5.5 verwiesen.
Im Anschluss beschreibt die Recherche, dass ein vollständiger Kettenablauf auch mit modifizierten Anweisungen noch mit einer nächsten Modellvariante (GPT-5.6) reproduzierbar war. Gleichzeitig betont der Autor, dass die Angriffsklasse zum Zeitpunkt der Veröffentlichung weiterhin ausnutzbar sei.
Ergänzend wird erwähnt, dass Microsoft über Klassifikatoren für „Jailbreak“- und „Cross-Prompt Injection“-Szenarien spricht. Diese Mechanismen können jedoch nicht in jedem Copilot-Setup verfügbar sein.
Gibt es diese Schwachstelle schon in der Praxis?
Der Bericht nennt keine Hinweise auf eine Ausnutzung in freier Wildbahn. Außerdem liegt keine vollständige Payload-Details vor, weil der Autor die vollständigen Inhalte zurückgehalten hat.
Darüber hinaus sind laut Recherche keine öffentlichen CVEs oder eigenständigen Microsoft Security Advisories zu diesem konkreten „Word-Finding“ in gängigen Datenquellen auffindbar.
Empfehlungen: So gehen Sie mit externen Dokumenten und Copilot-Ergebnissen um
Auch wenn nicht klar ist, wie stark ein konkretes Szenario in allen Umgebungen abgefangen wird, lassen sich mehrere praktische Schritte ableiten. Der Autor empfiehlt vor allem ein Vorgehen, das Dokumente als potenziell unzuverlässig behandelt, bis sie geprüft wurden.
- Externe Dokumente als untrusted einstufen: Behandeln Sie Dateien aus externen Quellen vorsichtig, bevor Sie mit Copilot eine Generation oder Bearbeitung starten.
- Anhänge vor dem Start prüfen: Gehen Sie die enthaltenen Inhalte durch, insbesondere wenn Zahlen, Zusammenfassungen oder Quellen kritisch sind.
- Copilot-Ausgaben kontrollieren: Überprüfen Sie, was Copilot erstellt oder geändert hat, bevor Sie Text weiterverwenden oder teilen.
- Wiedernutzung mit Vorsicht: Wenn ein Dokument intern weitergegeben oder in Folgeaufgaben genutzt wird, sollte die Prüfung nicht nur beim ersten Schritt erfolgen.
Zusätzlich wird im Bericht eine Beobachtung erwähnt: Kein reines „Customer-Side Remediation“ könne das Problem vollständig adressieren, weil die Prüfung auf Modell-Ebene nicht zuverlässig funktioniert, ohne dass der Inhalt selbst Teil des Entscheidungsprozesses ist. Das unterstreicht die Bedeutung von organisatorischen Kontrollen und Review-Prozessen.
Warum „Prompting“ allein kein Sicherheitsrand ist
Der Bericht verweist auf einen verwandten Microsoft-Gedanken: Prompting allein ist keine verlässliche Sicherheitsgrenze. Stattdessen sollen deterministische Systeme Zugriffs- und Isolationsregeln übernehmen. Übertragen auf den Alltag heißt das: Verlassen Sie sich nicht darauf, dass Copilot durch reine Anweisungen „von allein“ sicher bleibt.
Prüfprozesse, saubere Quellenkontrolle und ein bewusster Umgang mit dem Kontext, den Copilot beim Schreiben oder Bearbeiten nutzt, sind weiterhin entscheidend.
Fazit: Microsoft Copilot für Word braucht Review und Quellenkontrolle
Die Recherche zeigt, dass Microsoft Copilot für Word versteckte Anweisungen aus Word-Dokumenten übernehmen und in neue Dateien weitertragen kann. Das funktioniert nicht wie klassische Malware, sondern über den Prozess des Entwurfs und der Bearbeitung — und über die Art, wie Copilot relevante Quellen auswählt.
Auch ohne bestätigte Ausnutzung in der Praxis ist die Botschaft klar: Behandeln Sie externe Dokumente als potenziell riskant, prüfen Sie Inhalte vor Copilot-Workflows und kontrollieren Sie Copilot-Ergebnisse, bevor Sie sie erneut nutzen oder teilen. So reduzieren Sie das Risiko, dass manipulierte Inhalte über mehrere Schritte hinweg unbemerkt bleiben.
Quelle: https://thehackernews.com/2026/07/microsoft-copilot-for-word-can-copy.html
