Sicherheitsforscher von Varonis haben sich mit dem Thema "Meta-Hacking" von KI-Lösungen befasst. Sie wollten wissen, ob der Microsoft Copilot dazu gebracht werden kann, dem Benutzer selbst zu verraten, wie er über Schwachstellen gehackt und in ein Angriffswerkzeug verwandelt werden kann. Die Kurzfassung: Ja, das war möglich, die CoSnitch genannte 0-Click-Schwachstelle (CVE-2026-24301) wurde inzwischen durch Microsoft geschlossen.
Inzwischen steht Microsofts Copilot als KI-Lösung im Fokus verschiedener Unternehmen, die diese Lösung intern einsetzen. In dieser Umgebung sind aber sensible Unternehmensdaten, die per E-Mail, über Dateien, Kalender und Chats ausgetauscht werden, über Copilot als KI-Assistent zugänglich.
Das wirft natürlich die Frage auf, ob sich ein solcher KI-Assistent wie Copilot missbrauchen lässt, um Daten aus Unternehmen abzuziehen, ohne dass Überwachungslösungen (Data Loss Prevention) Alarm schlagen. Die Sicherheitsforscher von Varonis haben mir zum gestrigen Nachmittag, den 18. August 2026, die entsprechenden Informationen übermittelt, dass genau ein solches Szenario in Form einer Schwachstelle gefunden wurde.
Die Copilot-Schwachstelle CoSnitch (CVE-2026-24301)
Microsoft hat am 18. August 2026 die als kritisch eingestufte Schwachstelle CVE-2026-24301 offen gelegt und diese mit einem CVSS 3.1 Base Score von 8.8 kategorisiert. Bei Microsoft heißt es, dass eine Befehlsinjektion in Microsoft Copilot auf Grund einer unsachgemäßen Neutralisierung bestimmter Elemente in Prompts möglich war. Die Befehlsinjektion ermöglichte es einem unbefugten Angreifer, Informationen über ein Netzwerk abzurufen. Die Schwachstelle wurde durch Microsoft inzwischen geschlossen.
Varonis testet Meta-Hacking an Copilot
Aufgedeckt wurde diese Schwachstelle durch Sicherheitsforscher von Varonis. Die Sicherheitsforscher wollten bestimmte Befehlsinjektionen zur Ausleitung von Daten in Copilot testen, mussten aber feststellen, dass diese Angriffe auf die AI-Lösung nicht funktionierten. Also fragten sie Microsoft Copilot, warum die Angriffe nicht funktionierten. Der Copilot lieferte dann Antworten.
Und so konnten die Sicherheitsforscher schrittweise die Microsoft KI-Lösung dazu bewegen, zu verraten, wie ein Angriff am Ende des Tages erfolgreich per Befehlsinjektion durchgeführt werden kann. Die Copilots Antworten verrieten nach und nach genau, wie man den Befehlsinjektion-Angriff formulieren muss, um die Sicherheitsschranken zu umgehen und einen erfolgreichen Angriff durchzuführen.
Am Ende des Versuchs wurde ein weiterer Ein-Klick-Angriff auf Copilot entdeckt, der letztendlich durch Microsofts Copilot selbst verraten wurde. Das Varonis-Team nennt das Ganze "Meta-Hacking", also eine KI dazu zu bringen, ihre eigenen Schwachstellen preiszugeben.
Die CoSnitch genannte Schwachstelle CVE-2026-24301, die als kritisch eingestuft wurde, ermöglichte eine unbemerkte Angriffskette auszuführen, bei der dann Daten über das Netzwerk aus Unternehmen abgezogen werden konnten, ohne dass dabei offensichtliche Warnsignale auftreten. CoSnitch wurde über drei Sicherheitslücken in Microsoft Copilot ermöglicht:
- Automatische Ausführung von Eingabeaufforderungen: Der URL-Parameter „?q=" führt in Kombination mit einem undokumentierten Parameter dazu, dass jede vom Angreifer bereitgestellte Eingabeaufforderung sofort beim Laden der Seite ausgeführt wird: ohne Klick, ohne Bestätigung, ohne Benutzeraktion. Ein einziger Link reicht aus.
- Datenexfiltration auf externe Server: Eine eingeschleuste Eingabeaufforderung kann die verbundenen Apps des Opfers (Gmail, Drive, Kalender, OneDrive) abfragen, die Ergebnisse in eine URL kodieren und sie über die in Copilot integrierte URL-Abruf-Funktion an einen vom Angreifer kontrollierten Webhook exfiltrieren.
- Persistentes Memory-Poisoning über Web-Zusammenfassungen: Eine speziell gestaltete Webseite injiziert, wenn sie von Copilot zusammengefasst wird, Anweisungen des Angreifers in den permanenten Speicher des Opfers. Die Injektion überdauert Passwortänderungen, den Widerruf von Sitzungen und die Neuregistrierung des Geräts und bleibt dauerhaft bestehen.
CoSnitch zeigt, dass auf diese Weise große Mengen sensibler Daten durch einen vertrauenswürdigen KI-Workflow geleitet werden können, ohne dass die Alarmmechanismen ausgelöst werden, auf die sich Sicherheitsteams normalerweise verlassen.
CoSnitch ist bereits die dritte Schwachstelle in Microsoft Copilot, die Varonis Threat Labs in 2026 entdeckt hat. Bei Reprompt wurden die Sicherheitsvorkehrungen von Copilot allein durch eine zweite Abfrage umgangen (siehe Links am Artikelende). Und SearchLeak verwandelte Microsoft 365 Copilot Enterprise in ein Tool zur unbemerkten Exfiltration von Unternehmensdaten. Alle drei Schwachstellen folgen demselben Muster: Ein Klick auf einen seriös wirkenden Link reicht aus.
Varonis hat Microsoft im Dezember 2025 auf die CoSnitch genannte Schwachstelle hingewiesen. Diese wurde am 18. August 2026 durch Patches beseitigt. Varonis hat das Ganze dann im Blog-Beitrag CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower offen gelegt. Dort lassen sich weitere technische Details zu diesem Angriff nachlesen.
Ähnliche Artikel:
EchoLeak: Erste AI 0-Click-Sicherheitslücke in Microsoft Copilot
Varonis legt Reprompt-Angriff auf Microsofts Copilot offen
SearchLeak: Neuer, kritischer Ein-Klick-Exploit für Microsoft Copilot
M365 Copilot: Drei kritische Sicherheitslücken gepatcht (7.5.2026)
Sicherheit: AI-Browser und Copilot-Schwachstelle
MVP: 2013 – 2016
