Wenn Ihr KI-Assistent Angreifern Genau Zeigt, Wie Man Ihn Hackt
Es gibt eine neue Art von Schwachstelle, und sie stammt nicht von einem Buffer-Overflow oder einem falsch konfigurierten Server. Sie stammt aus einem Gespräch.
Am 18. August 2026 hat Varonis Threat Labs öffentlich CoSnitch (CVE-2026-24301) disclosed, eine Kette von drei kritischen Schwachstellen in Microsoft Copilot Personal, dem verbraucherorientierten KI-Assistenten unter copilot.microsoft.com. Die Angriffskette ermöglicht es, dass ein einziger bösartiger Link stillschweigend Daten aus verbundenen Anwendungen wie Gmail, Google Drive, Calendar und OneDrive exfiltriert, ohne dass das Opfer davon erfährt.
Aber die eigentliche Schlagzeile ist nicht, was die Schwachstelle tut. Sondern wie sie gefunden wurde.
Meta-Hacking: Social Engineering gegen die KI Selbst
Die Varonis-Forscher haben den Code von Copilot nicht reverse-engineert. Sie haben keine Fuzz-Tests an seinen Endpunkten durchgeführt. Sie haben etwas viel Beunruhigenderes getan: Sie haben Copilot gefragt, wie man ihn hackt.
Die Technik, die Varonis Meta-Hacking nennt, exploitet den eigenen Reasoning-Engine der KI. Forscher stellten Fragen, die Copilot dazu bringen sollten zu erklären, warum bestimmte Angriffe unmöglich sind. Jede Verweigerung kam mit einer technischen Begründung, und jede Begründung offenbarte ein weiteres Stück der internen Systemarchitektur.
"Copilots Vertrauen in die eigene Sicherheit wurde zum Mechanismus, durch den es offenbarte, wie man es kompromittiert," erklärt der Varonis-Bericht.
Schritt für Schritt offenbarte die KI einen undokumentierten URL-Parameter, sein historisches Verhalten und jeden Schutz, der eingerichtet wurde, um ihn zu deaktivieren. Die Forscher bauten ihre Angriffs-URL genau so, wie Copilot sie beschrieben hatte. Sie funktionierte beim ersten Versuch.
Dies ist kein Jailbreak. Es ist etwas Grundlegenderes: eine KI, die nicht unterscheiden kann zwischen einem Benutzer, der Hilfe sucht, und einem Angreifer, der ihre Verteidigung kartiert.
Die Drei Schwachstellen Hinter CoSnitch
CoSnitch ist eine Kette von drei verschiedenen Schwachstellen, die zusammen einen verheerenden Ein-Klick-Angriff erzeugen:
1. Automatische Prompt-Ausführung
Eine manipulierte URL im Format https://copilot.microsoft.com/?q=<bösartiger_prompt>&autorun=1 lädt Copilot mit einem vorausgefüllten Prompt, der beim Laden der Seite automatisch ausgeführt wird. Kein Klick auf eine Schaltfläche. Keine Bestätigung. Das Opfer öffnet einfach den Link, und die KI führt aus, was der Angreifer geschrieben hat.
2. Stille Datenexfiltration über OAuth-Connector
Wenn Benutzer Drittanbieterdienste mit Copilot verbinden, gewähren sie OAuth-Tokens für Gmail, Drive, Calendar und andere Apps. Die KI kann diese Connector während jeder Konversation aufrufen. Ein bösartiger Prompt weist Copilot an, verbundene Apps nach sensiblen Daten zu durchsuchen, die Ergebnisse in eine URL zu kodieren und diese URL zu "zusammenzufassen" und so die gestohlenen Daten effektiv an einen vom Angreifer kontrollierten Server zu senden.
In einem Test extrahierten Forscher ein Klartext-Passwort aus einer echten E-Mail: "Hey, mein Passwort ist !214SDBG!!! danke IT." Der Benutzer hatte keine Ahnung, dass Copilot auf diese Weise als Waffe eingesetzt werden konnte.
3. Persistente Speichervergiftung durch Web-Zusammenfassung
Bitten Sie Copilot, eine manipulierte Webseite zusammenzufassen, und er kann gewöhnlichen Text von versteckten Anweisungen nicht unterscheiden. Diese Anweisungen werden in den persistenten Speicher des Opfers geschrieben und überleben Passwortänderungen, Sitzungswiderrufe und sogar Geräte-Resets. Der Angreifer erhält permanenten Zugriff darauf, was Copilot dem Benutzer in jeder zukünftigen Konversation sagt.
Das Ist Nicht Das Erste Mal
CoSnitch ist die dritte große Copilot-Schwachstelle, die Varonis allein 2026 entdeckt hat:
- Reprompt (Anfang 2026): Umging Copilots Sicherheitsmaßnahmen einfach durch zweimaliges Stellen derselben Frage
- SearchLeak (Juni 2026): Verwandelte Microsoft 365 Copilot Enterprise in ein stilles Datenexfiltrationswerkzeug
- CoSnitch (August 2026): Verkettete Auto-Ausführung, OAuth-Exfiltration und Speichervergiftung zu einem einzigen Ein-Klick-Angriff
Alle drei teilen dasselbe Muster: Ein Klick auf einen legitim aussehenden Link reicht aus, um den Benutzer zu kompromittieren. Dies ist kein Bug in einer Funktion. Es ist eine systemische Herausforderung, wie KI-Assistenten auf Unternehmensdaten zugreifen, sie verarbeiten und schützen.
Was Microsoft Tat
Varonis hat die Schwachstellen verantwortungsvoll im Dezember 2025 an Microsoft gemeldet. Microsoft lieferte Patches am 18. August 2026 aus und erklärte, es gebe keine Hinweise auf aktive Ausnutzung vor dem Fix.
Die Schwachstelle wird unter CVE-2026-24301 in Microsofts Security Update Guide geführt und betrifft speziell Copilot Personal, nicht Microsoft 365 Copilot für Unternehmen.
Was Sie Jetzt Tun Sollten
Wenn Ihr Team Copilot nutzt, ergreifen Sie heute diese Schritte:
- Verbundene Dienste prüfen: Überprüfen Sie, welche OAuth-Apps Copilot Zugriff hat (Gmail, Drive, Calendar, OneDrive). Deaktivieren Sie die, die Sie nicht aktiv nutzen.
- Klicken Sie nicht auf verdächtige Copilot-Links: Jede URL, die auf
copilot.microsoft.comzeigt und lange Abfrageparameter hat, sollte als verdächtig behandelt werden. - Hören Sie auf, Passwörter per E-Mail zu teilen: Wenn Ihr Team Zugangsdaten oder Passwörter im E-Mail-Text teilt, hören Sie jetzt auf. Copilot liest diese E-Mails wörtlich und kann sie an Dritte weitergeben.
- Patchen Sie sofort: Stellen Sie sicher, dass das Sicherheitsupdate vom 18. August 2026 auf alle Copilot-Installationen angewendet wurde.
- Bewerten Sie den KI-Assistenten-Zugriff neu: Überlegen Sie, ob Ihre KI-Assistenten Zugriff auf alle verbundenen Dienste benötigen, oder ob ein Least-Privilege-Modell angemessener ist.
Das Große Ganze: KI-Assistenten als Angriffsflächen
CoSnitch ist eine Vorschau auf das, was kommt. Wenn KI-Copiloten zur zentralen Schnittstelle für Unternehmensworkflows werden, aggregieren sie den Zugriff auf E-Mails, Dateien, Kalender und interne Systeme unter einer einzigen konversationellen Ebene. Diese Bequemlichkeit ist auch das Risiko.
Die Sicherheitsperimeter ist nicht mehr die Netzwerkgrenze. Es ist die Prompt-Grenze. Und wie Meta-Hacking zeigt, ist diese Grenze viel poröser als erwartet.
Bei aratech arbeiten wir täglich mit Unternehmen, die KI-gestützte Workflows einsetzen. Die Lektion von CoSnitch ist klar: KI-Assistenten brauchen die gleiche Sicherheitsstrenge wie jede privilegierte Anwendung. Least-Privilege-Zugriff, kontinuierliches Monitoring und ein gesundes Misstrauen gegenüber dem, was Ihre KI sehen und tun kann, sind nicht optional. Sie sind die Basislinie.
Das Zeitalter, Ihrem KI-Assistenten alles anzuvertrauen, ist vorbei. Das Zeitalter, zu verifizieren, was er mit diesem Zugriff tut, hat begonnen.