Der norwegische Sicherheitsforscher Håkon Måløy ist auf eine Schwachstelle in Microsoft 365 gestoßen. In Microsoft Word-Dokumenten eingebettete Instruktionen können Microsoft Copilot ansprechen und dort einzelne Operationen auslösen. So ist es möglich, Dokumentinhalte zu verändern oder in ein zweites Dokument zu kopieren, ohne dass der Nutzer das mitbekommt. Der Ansatz ermöglichte sogar die Infektion weiterer Dokumente. Microsoft will diese Schwachstelle inzwischen abgeschwächt haben – der Entdecker sagt aber, dass es derzeit keine wirksame Abhilfe gebe.
Der Sachverhalt lag eigentlich die ganze Zeit "auf dem Tisch", es brauchte nur noch einen Nachweis, wie sich Microsoft Word austricksen und der von Microsoft integrierte Copilot missbrauchen lässt. Genau diese Möglichkeit hat Håkon Måløy gefunden, an Microsoft gemeldet und inzwischen im Blog-Beitrag Context Collapse, Part 3 – AI Worming through Word dokumentiert. Ich bin u.a. bei The Register auf diesen Sachverhalt gestoßen.
Der Angriff auf Copilot per Word-Dokument
Håkon Måløy schreibt, dass der Angreifer versteckte Anweisungen in ein externes, aber freigegebenes Word-Dokument einfügen kann. Wird dieses Dokument dann in Word geladen, könnten diese Anweisungen in Copilot als Teil der Anfrage des Benutzers interpretiert werden.
Letztendlich ist es dadurch möglich, dass die Anweisungen dazu führen, dass das gerade entworfene oder bearbeitete Word-Dokument durch Copilot manipuliert wird. Copilot könnte die versteckten Anweisungen anschließend auch in das resultierende Dokument kopieren und dieses Dokument so zu einem neuen Träger für eine Manipulation machen. Wird der Träger anschließend in einem anderen Copilot-gestützten Arbeitsablauf mit Word verwendet, ließen sich die Anweisungen erneut durch Copilot auswerten.
Dadurch entsteht quasi ein AI-Word-Worm, der auf weitere Word-Dokument überspringen und per Copilot ausgelöst werden kann. Das ist ein Szenario, auf welches ich bereits seit Einführung des Copilot warte.
Details werden zurückgehalten
Måløy beschreibt das Problem in seiner Offenlegung zwar sehr ausführlich, hält jedoch die Details des "Payloads", die eine prompt-Injection ermöglichen und die Copilot-Aktionen auslösen zurück. Er argumentiert, dass es unverantwortlich wäre, über die Beschreibung der Sicherheitslücke hinausgehende Informationen offenzulegen, da es keine zuverlässigen Abhilfemaßnahmen gebe.
The Register zitiert eine Stellungnahme des Sicherheitsforschers folgendermaßen: "Wir haben uns mit den vom Forscher gemeldeten Erkenntnissen befasst und danken ihm für die Zusammenarbeit im Rahmen der koordinierten Offenlegung von Sicherheitslücken. Um dieser Art von Risiko zu begegnen, verfolgen wir eine Strategie der mehrschichtigen Verteidigung mit Schutzmaßnahmen, die böswillige Anweisungen an mehreren Stellen blockieren und dazu beitragen, dass Aufgaben den Anforderungen der Benutzer entsprechen. Wir verstärken diese Schutzmaßnahmen kontinuierlich, während sich die Technologie und die Bedrohungslage weiterentwickeln. Wir empfehlen unseren Kunden, die neuesten Updates zu installieren, mehrschichtige Sicherheitsmaßnahmen zu nutzen, Inhalte aus unbekannten Quellen mit Vorsicht zu behandeln und von KI generierte Inhalte zu überprüfen, bevor sie diese verwenden oder weitergeben."
Ist irgendwie um den heißen Brei herum reden in meinen Augen. Denkbar wäre es, dass die IT externe Dokumente zur Verwendung in Word / Copilot sperrt. Ob dies praktikabel ist, weiß ich nicht.
"Meines Wissens nach gehört dies zu den ersten öffentlichen Demonstrationen der selbstständigen Verbreitung eines dokumentbasierten KI-Wurms über normale Arbeitsabläufe in einer gängigen kommerziellen Office-Suite", sagt Måløy. Der Sicherheitsforscher hat seine Erkenntnisse veröffentlicht, weil die mit Microsoft vereinbarte Koordinierungsfrist abgelaufen ist. Er schreibt, dass seine Tests zeigen, dass derzeit keine robuste Abhilfemaßnahme für die übergeordnete Schwachstellenklasse verfügbar ist.
Zwei Versuche zur Behebung, darunter ein Modell-Upgrade, konnten die Schwachstellenklasse nicht schließen. Keine guten Voraussetzungen, Copilot in Word unbeschwert zu nutzen, finde ich.
MVP: 2013 – 2016
