Der Fall begann mit einem Link, nicht mit einem gestohlenen Passwort. Nach der Analyse von Varonis konnte eine präparierte URL in Microsoft Copilot Personal vor einem inzwischen eingespielten Fix eine eingebettete Anweisung in einer bereits angemeldeten Sitzung automatisch starten. Das war vor allem deshalb heikel, weil Copilot auf Dienste zugreifen konnte, die Nutzer zuvor selbst verbunden hatten.
Microsoft führt den Befund als CVE-2026-24301, beschreibt ihn als Informationspreisgabe in Copilot Web und erklärt den konkreten Weg für vollständig behoben. Eine Kundenaktion sei nicht erforderlich. Varonis und Dark Reading berichten zudem keinen Nachweis, dass die Schwachstelle in freier Wildbahn ausgenutzt wurde. Es geht also nicht um eine laufende Angriffswelle, sondern um einen behobenen Sicherheitsbefund mit einer nützlichen Lehre für KI-Assistenten, die mehr dürfen als bloß antworten.
Was der präparierte Link vor dem Fix auslösen konnte
Varonis beschreibt eine Kette aus mehreren Schritten. Der Parameter q füllte demnach zunächst nur ein Eingabefeld in Copilot vor. Erst die Kombination mit einem nicht dokumentierten autorun=1 sollte die darin enthaltene Anweisung beim Laden der Seite ohne weitere Bestätigung ausführen. Der Browser öffnete Copilot dabei in der Sitzung, in der der Nutzer ohnehin schon angemeldet war.
Der Link verschaffte sich damit keine neuen OAuth-Berechtigungen und öffnete nicht beliebige fremde Konten. Seine Reichweite hing an den Daten und Diensten, die im jeweiligen persönlichen Konto bereits mit Copilot verbunden waren. Varonis nennt etwa Gmail, Drive, Kalender und OneDrive. Der injizierte Prompt konnte nach der Beschreibung Daten daraus abfragen, sie in einer URL kodieren und Copilots eingebauten URL-Abruf nutzen, um diese Adresse bei einem externen Endpoint aufzurufen.
Das ist der wichtige Unterschied zu einem gewöhnlichen Phishing-Link: Nicht der Link selbst hatte plötzlich weitreichende Rechte. Er konnte vor dem Patch eine automatische Aktion in einem Assistenten anstoßen, der bereits mit Rechten, Daten und einer angemeldeten Sitzung ausgestattet war.
Copilot Personal ist nicht Microsoft 365 Copilot
Der öffentliche Befund bezieht sich auf Copilot Personal beziehungsweise Copilot Web. Microsoft unterscheidet diesen persönlichen Kontext von Copilot Chat und Microsoft 365 Copilot für Arbeit und Bildung. Aus CVE-2026-24301 lässt sich deshalb nicht ableiten, dass Microsoft 365 Copilot denselben Fehler hatte. Umgekehrt wäre es ebenso ungenau, aus dem Fix eine allgemeine Aussage über jedes andere KI-Produkt abzuleiten.
Für Privatanwender bleibt der Fall trotzdem praktisch. Viele persönliche Konten enthalten weitergeleitete Arbeitsmails, Kalendertermine, Dokumente oder Zugangsdaten. Das ist kein Beleg für eine betroffene Unternehmensinstanz. Es zeigt aber, warum die Trennung zwischen Privat- und Arbeitskonto keine bloße Verwaltungsfrage ist, wenn ein Assistent mit externen Diensten verbunden wird.
Zwei getrennte Sicherheitswege
Der Datenabfluss über die präparierte URL ist nur ein Teil des CoSnitch-Berichts. Varonis beschreibt zusätzlich einen getrennten Weg über eine Webseite, die Copilot zusammenfassen sollte. Versteckter Text konnte dabei nach Darstellung der Forscher als Anweisung statt als bloßer Seiteninhalt behandelt werden. So sollte sich eine von Angreifern kontrollierte Anweisung in eine dauerhafte Copilot-Erinnerung schreiben lassen.
Beide Wege sollte man nicht vermischen. Beim ersten geht es um eine vor dem Fix automatisch gestartete Anweisung und einen externen URL-Abruf. Beim zweiten um indirekte Prompt Injection beim Zusammenfassen von Webinhalten und um dauerhaften Kontext. Microsoft dokumentiert gespeicherte Erinnerungen als eigene Produktdaten mit separaten Ein- und Ausschalt- sowie Löschkontrollen. Diese Dokumentation betrifft jedoch vor allem Microsoft-365-Kontexte und belegt nicht stillschweigend dieselbe technische Umsetzung im von Varonis untersuchten persönlichen Copilot.
Die fünf Kontrollstellen hinter dem Fall
Die technische Kette lässt sich als fünf Kontrollstellen lesen: Link, Sitzung, Berechtigungen, externer Abruf und dauerhafter Kontext. Der Link brachte die Anweisung in den Dienst. Die bereits angemeldete Sitzung machte ihre Ausführung möglich. Verbundene Dienste bestimmten, welche Daten grundsätzlich erreichbar waren. Der externe Abruf bot den beschriebenen Ausweg aus dem Assistenten. Der Memory-Pfad betraf schließlich die Frage, ob fremder Webinhalt später weiterwirken kann.
Diese Einordnung ist keine eigene Exploit-Reproduktion. Sie verbindet die technische Analyse von Varonis mit dem offiziellen Fixstatus von Microsoft und der allgemeineren NIST-Beschreibung indirekter Prompt Injection. Dort geht es um dieselbe Grundgrenze: Ein Assistent muss unterscheiden können, was unzuverlässiger Inhalt ist, was eine zulässige Anweisung darstellt und wann eine Aktion außerhalb des Chatfensters eine ausdrückliche Bestätigung braucht.
Was nach dem Patch sinnvoll bleibt
Der konkrete CoSnitch-Weg ist nach Microsofts Angaben vollständig mitigiert. Für Nutzer folgt daraus kein Anlass, in Panik sämtliche Konten zu schließen. Sinnvoll ist trotzdem ein Blick auf verbundene Dienste und Erinnerungsfunktionen: Welche Mail-, Kalender- oder Dateidienste braucht ein persönlicher Assistent tatsächlich? Welche Verbindung lässt sich getrennt halten? Und bei welchen Aktionen sollte der Dienst nicht selbstständig handeln dürfen?
Für Anbieter ist der Fall anspruchsvoller. Ein Patch kann einen konkreten URL-Parameter schließen. Die weitergehende Aufgabe besteht darin, externe Inhalte, Nutzerabsicht, vorhandene Rechte, Netzwerkaufrufe und dauerhaften Kontext auch dann sauber zu trennen, wenn ein Assistent über mehrere Dienste hinweg arbeitet. Entscheidend wären unabhängige Nachtests der reparierten Varianten, nachvollziehbare Protokolle externer Abrufe und klare Kontrollen dafür, wann gespeicherter Kontext entsteht oder gelöscht wird.
CoSnitch ist damit kein Beleg dafür, dass Copilot oder KI-Assistenten grundsätzlich unsicher sind. Der Befund zeigt etwas Konkreteres: Sobald ein Chatdienst mit persönlichen Daten und Werkzeugen verbunden ist, muss er wie ein privilegierter Dienst behandelt werden. Ein gutes Chatfenster allein reicht dafür nicht.
Quellen und weiterführende Informationen
- Varonis Threat Labs: CoSnitch – technische Primäranalyse zu URL-Parametern, verbundenen Diensten, URL-Fetch und Memory-Pfad.
- Microsoft Security Response Center: CVE-2026-24301 – offizieller Scope, Einstufung und Mitigationsstatus.
- The Hacker News: Copilot-Personal-Bericht – zeitnahe Einordnung und Scope-Abgrenzung.
- Dark Reading: CoSnitch – unabhängige Berichterstattung einschließlich Microsoft-Reaktion.
- NIST: AI Agent Hijacking Evaluations – Kontext zu indirekter Prompt Injection.
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-25.
