Microsoft Copilot Personal: CoSnitch deckt Schwächen auf

Microsoft Copilot Personal steht erneut im Fokus der Sicherheitsforschung: Varonis Threat Labs hat unter dem Namen CoSnitch Schwächen drei Schwachstellen beschrieben, die im schlimmsten Fall durch einen einzigen Klick auf einen speziell präparierten Link Daten aus verbundenen Diensten abziehen können. Laut den Forschern ist dabei kein klassischer „Hacken“-Nachweis nötig – der Angriff funktioniert vielmehr über das Zusammenspiel von URL-Parametern und den Regeln, die Copilot für das Ausführen von Eingaben anwendet.

Die Analyse zeigt zudem einen zweiten Weg, bei dem die Zusammenfassung einer Webseite durch Copilot Anweisungen in den Speicher der betroffenen Nutzer schreiben kann. Microsoft reagierte nach Angaben der Forscher mit Patches, die am 18. August 2026 ausgeliefert wurden.

Was sind die CoSnitch Schwächen?

Varonis gruppiert die Ergebnisse in drei unterschiedliche Schwachstellen, die zusammen eine nachvollziehbare Kette ergeben können: Zuerst wird ein promptartiger Inhalt aufgerufen, anschließend kann er Daten aus bereits autorisierten Konten abfragen und schließlich können über die Web-Zusammenfassung auch langlebige Speicheränderungen entstehen.

Ein entscheidender Punkt in der Darstellung der Forscher: Teile der Funktionsweise hängen an einem nicht dokumentierten URL-Parameter, den Copilot selbst im Testumfeld offenbar „offenlegte“. Varonis nennt dabei den Ansatz „meta-hacking“: Durch wiederholte Nachfragen an den Assistenten, warum eine Prompt-Ausführung nicht ohne Nutzerinteraktion möglich sei, sollten die Bedingungen herausgearbeitet werden.

Ein Klick kann eine automatische Prompt-Ausführung triggern

Der erste Teil der CoSnitch Schwächen zielt auf die automatische Ausführung eines Angreifer-prompts beim Laden einer vorbereiteten Seite. Das geschieht dem Bericht zufolge, wenn zwei bestimmte URL-Parameter kombiniert werden.

Die Forscher erläutern, dass der Parameter „q“ allein typischerweise nur dazu führt, dass das Eingabefeld vorbefüllt wird. Erst zusammen mit dem zweiten, von Copilot gefundenen Parameter autorun=1 kann der Prompt ohne Nutzer-Geste starten.

Wichtig ist auch das Timing: Sobald die Ausführung begonnen hat, läuft der Prompt offenbar bis zum Abschluss weiter – selbst wenn der Nutzer das Copilot-Tab sofort schließt. Varonis fasst die Wirkung in einer zugespitzten Formulierung zusammen: Es sei nicht „gebrochen“ worden, sondern „gespielt“.

Wie Microsoft Copilot dabei ausgetrickst wird

In den Tests beschreibt Varonis, dass Copilot anfänglich technische Gründe für die fehlende Interaktionsfreiheit nannte und dabei schließlich einen Parameter benannte sowie die sessionbezogenen Bedingungen und Schutzmaßnahmen, die eigentlich greifen sollten. Genau diese Angaben nutzten die Forscher, um die URL anschließend korrekt aufzubauen – mit dem Effekt, dass die Ausführung dann funktionierte.

Datenexfiltration über verbundene Dienste

Der zweite Baustein der CoSnitch Schwächen betrifft die Exfiltration: Der eingebettete Prompt soll auf Dienste zugreifen können, die der Nutzer bereits gegenüber Copilot autorisiert hat. Dabei wird nach Darstellung der Forscher keine neue Berechtigung erteilt und auch der Zugriff wird nicht über den bereits vorhandenen Umfang hinaus erweitert.

Stattdessen kann der injizierte Prompt die autorisierten Daten abfragen, die Ergebnisse kodieren und anschließend die vom Angreifer kontrollierte Zieladresse über einen eingebauten URL-Abrufmechanismus ansteuern. Der Bericht beschreibt dabei außerdem, dass Base64-Kodierung helfen kann, Filter zu umgehen, die sensible Muster in ausgehenden Requests suchen – insbesondere solche wie Zugangsdaten.

Varonis betont zudem einen kritischen Aspekt für die Detektion: Der Exfiltrationsrequest unterscheidet sich auf Netzwerkebene nicht erkennbar von den normalen Fetches, die Copilot ohnehin ausführt, etwa beim Zusammenfassen einer Webseite. Das kann Sicherheitsüberwachung erschweren.

Welche Daten die Forscher in ihren Tests nennen

In der Untersuchung beschreibt Varonis, dass der Prompt unter anderem Inhalte liefern konnte wie:

• Nachrichtenkörper, Betreffzeilen sowie Absender- und Empfänger-Metadaten aus E-Mail-Konten
• Kalenderdaten wie Titel, Teilnehmer, Zeit- und Ortsinformationen
• Dateinamen und Metadaten-Zusammenfassungen aus Google Drive
• vollständigen Inhalt zuvor geführter Gespräche aus dem Chatverlauf
• gespeicherte Anweisungen und nutzerspezifische Regeln im Copilot-Speicher

Zusätzlich ordnet Varonis das in einen Kontext ein: Microsofts Connector-Dokumentation sieht vor, dass Nutzer Dienste autorisieren müssen und dass verbundene Dienste mit den bereits bestehenden Nutzerrechten arbeiten. Microsoft stellt diese Logik auch in der Berichterstattung als Begrenzung der Wirkung dar.

Web-Zusammenfassung kann Speicheranweisungen dauerhaft machen

Neben dem One-Click-Pfad beschreibt Varonis eine dritte, separate Komponente der CoSnitch Schwächen: Memory-Poisoning über die Web-Zusammenfassung. Dabei soll eine gezielt präparierte Webseite, wenn sie von Copilot zusammengefasst wird, Anweisungen in den Speicher der betroffenen Nutzer schreiben.

Laut dem Bericht bleiben diese gespeicherten Instruktionen auch dann erhalten, wenn Nutzer ihr Passwort ändern, Sitzungen widerrufen oder Geräte neu registrieren. Aktiv bleiben sie in späteren Gesprächen, bis der Nutzer sie explizit aus den Copilot-Speichereinstellungen entfernt.

Ein weiterer Punkt aus Sicht der Incident-Response: Varonis sagt, dass die Speicheränderung keine typischen Artefakte erzeugt, die Sicherheitstools klassisch flaggen würden – etwa eigene Prozess- oder Dateispuren, keine auffälligen Netzwerkverbindungen und keine eindeutigen Logeinträge. Gleichzeitig soll die Änderung im Copilot-Speicher sichtbar sein.

Zuordnung, Status und betroffene Produkte

Varonis weist in der Veröffentlichung auf eine Zuordnung im Microsoft Security Update Guide hin: CVE-2026-24301 wird im Zusammenhang mit CoSnitch Schwächen genannt. Betont wird außerdem, dass sich die Forschung auf Copilot Personal bezieht – also den Consumer-Assistenten unter copilot.microsoft.com.

Der Bericht nennt nicht, dass ein identisches Verhalten auch Microsoft 365 Copilot betroffen gewesen sei. Das ist wichtig, weil die Schutzmechanismen und Prozesse je nach Produktlinie unterschiedlich ausfallen können.

In den Tests fanden die Forscher nach eigener Aussage keinen Hinweis auf eine Ausnutzung in der echten Welt. Die Veröffentlichung erfolgte trotzdem, weil die Lücke grundsätzlich das Potenzial für Missbrauch bietet, sobald Nutzer einem präparierten Link folgen.

Was Microsoft zur Abgrenzung und Mitigation sagt

Microsoft habe, so die Darstellung, Patches bereitgestellt, die am 18. August 2026 ausgeliefert wurden. Die Forscher geben außerdem an, dass sie das Problem bereits im Dezember 2025 gemeldet hatten.

Microsofts Sicherheitsperspektive zu dieser Art von Angriffen (aus der Berichterstattung zu ähnlichen Klassen von Memory- und Prompt-Injection-Themen) zielt laut Varonis darauf ab, dass Speicherupdates beim Schreiben durch Sanitization sowie Prompt-Injection-Checks geprüft werden. Zusätzlich werden – im Kontext von Microsoft 365 – Aufgaben zur Einhaltung von Vorgaben bei expliziten Speicheroperationen und Audit-Logging erwähnt.

Für Copilot Personal nennt Varonis den konkreten Patch-Status und die Tatsache, dass die von ihnen beschriebenen Mechanismen in ihrer Darstellung über die URL-Parameter bzw. Zusammenfassungswege funktionierten. Offen bleibt in der Veröffentlichung zudem, ob zuvor gespeicherte Einträge durch die Remediation rückwirkend entfernt wurden.

Empfehlungen: So reduzieren Nutzer das Risiko

Varonis rät zu mehreren Maßnahmen, die sich auf den praktischen Umgang mit verbundenen Apps und Links konzentrieren:

• Überprüfen, welche Anwendungen in Copilot verbunden sind.
• Trennen Sie Dienste, die nicht aktiv benötigt werden.
• Behandeln Sie den Assistenten bei der Zugriffseinschätzung wie einen privilegierten Insider, da er auf autorisierte Inhalte zugreifen kann.
• Vorsicht bei Links, die Interaktionen mit KI-Assistenten auslösen.

Ein weiterer Hinweis: Varonis identifizierte kein spezielles „Client-Update“, das Nutzer zusätzlich installieren müssen. Nach der Veröffentlichungserzählung persistieren potenziell injizierte Memories jedoch, bis sie explizit gelöscht werden.

Warum die Meldung zeitlich auffällt

Die CoSnitch Schwächen kommen laut Varonis in kurzer zeitlicher Nähe zu weiteren Forschungsergebnissen aus demselben Umfeld. Erst kürzlich sei ein ein-klickbasierter Angriff auf Atlassian Rovo untersucht worden, bei dem ein URL-Parameter zum Seed von Anweisungen genutzt wurde. Auch dort wird berichtet, dass die betroffene Plattform vor der öffentlichen Veröffentlichung bereits behoben habe.

Für Unternehmen und Security-Teams bedeutet das: Die Angriffsflächen rund um URL-Parameter, URL-basierte Prompt-Übergaben und indirekte Eingaben über Web-Inhalte sind ein wiederkehrendes Thema. Deshalb lohnt es sich, KI-gestützte Workflows genauso in das Sicherheitsmodell aufzunehmen wie klassische Integrationen.

Fazit

CoSnitch Schwächen zeigen, wie empfindlich KI-Assistenten gegenüber der Kombination aus URL-Parametern, verbundenen Diensten und Prompt-Ausführungslogik sein können. Varonis beschreibt, wie ein präparierter Link die automatische Ausführung eines Angreifer-prompts starten kann, wie anschließend Daten aus autorisierten Quellen abfließen könnten und wie über Web-Zusammenfassungen sogar längerfristige Speicheränderungen entstehen können.

Da Microsoft nach Angaben der Forscher bereits Patches bereitgestellt hat, sollten Nutzer und Admins vor allem die Konnektoren im Blick behalten, nicht benötigte Apps deaktivieren und besonders vorsichtig mit Links umgehen. So lässt sich das Risiko deutlich senken – auch in einem Szenario, in dem die bösartigen Aktivitäten auf Netzwerkebene schwerer von normalen Copilot-Abrufen zu unterscheiden sind.

Quelle: https://thehackernews.com/2026/08/microsoft-copilot-personal-flaws-could.html