Der Sicherheitsforscher Håkon Måløy hat einen sich selbst verbreitenden Wurm demonstriert, der die KI-Funktionen von Microsoft Copilot innerhalb von Word-Dokumenten ausnutzt. Die Demonstration verdeutlicht eine kritische Schwachstelle in der Art und Weise, wie Large Language Models (LLMs) Daten verarbeiten, und zeigt auf, dass automatisierte KI-Assistenten zur Verbreitung schädlicher Anweisungen missbraucht werden können.
Mechanismus der indirekten Prompt-Injection
Der von Måløy entwickelte Angriff nutzt eine Methode, die als indirekte Prompt-Injection bekannt ist. Dabei werden bösartige Anweisungen in ein Dokument eingebettet, die für den menschlichen Leser unsichtbar sind. Der Forscher verwendete hierfür weißen Text auf weißem Hintergrund. Während ein Nutzer das Dokument liest, ohne den versteckten Inhalt wahrzunehmen, erfasst der KI-Assistent Copilot diese Anweisungen bei der Verarbeitung des Dokuments.
Das Kernproblem dieser Schwachstelle liegt in der fehlenden Trennung zwischen Daten und Befehlen innerhalb von LLMs. Måløy bezeichnet dieses Phänomen als „Context Collapse“. Da die KI nicht zwischen dem eigentlichen Inhalt eines Dokuments und darin enthaltenen Steuerbefehlen unterscheiden kann, führt sie die versteckten Anweisungen aus. Im Fall des demonstrierten Wurms veranlasst der Payload die KI dazu, die bösartigen Instruktionen eigenständig in neu generierte Dokumente zu kopieren. Auf diese Weise propagiert sich der Angriff autonom weiter, ohne dass herkömmliche Schadcode-Elemente wie Makros oder ausführbare Dateien erforderlich sind.
Wer KI-Systeme im Unternehmen einsetzt, muss nicht nur technische Risiken, sondern auch neue rechtliche Leitplanken beachten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken verstehen
Erfolglose Mitigationsversuche seitens Microsoft
Die Veröffentlichung der Forschungsergebnisse Anfang August folgt auf eine 144 Tage währende Zusammenarbeit mit dem Microsoft Security Response Center. Bereits Ende März bestätigte Microsoft das Verhalten des Wurms. In der Folgezeit unternahm das Unternehmen mehrere Versuche, die Schwachstelle durch technische Gegenmaßnahmen einzudämmen.
Berichten zufolge schlugen erste Fix-Versuche jedoch fehl. Eine erste Mitigationsmaßnahme wurde bereits Anfang April umgangen. Nur wenige Tage später, in der zweiten Aprilwoche, wurde auch eine zweite Schutzmaßnahme ausgehebelt. Ein dritter Versuch zur Absicherung des Systems scheiterte Mitte Juli. Aufgrund der fortbestehenden Problematik entschied sich Måløy nun zur Veröffentlichung seiner Erkenntnisse, wobei er den konkreten Payload-Text zurückhielt, um einen unmittelbaren Missbrauch durch Dritte zu verhindern. Ein wirksamer Fix seitens des Herstellers steht derzeit noch aus.
Empfehlungen für die IT-Sicherheit
Die zunehmende Integration von Künstlicher Intelligenz in den Arbeitsalltag erfordert eine Anpassung der Sicherheitsstrategien und Compliance-Vorgaben. Ein kostenloser Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Die Demonstration unterstreicht, dass Prompt-Injections ein bislang ungelöstes Problem der KI-Sicherheit darstellen. Solange die Architektur von LLMs keine strikte Trennung von Datenflüssen vorsieht, bleiben Systeme, die Dokumenteninhalte automatisiert verarbeiten, anfällig für diese Art der Manipulation.
Sicherheitsforscher raten dazu, externe Dokumente grundsätzlich als nicht vertrauenswürdig zu behandeln, auch wenn sie keine klassischen Warnsignale wie Makros enthalten. Anwender und Unternehmen sollten Dokumente gezielt auf versteckten Text prüfen. Fachleute empfehlen zudem, die Datenflüsse innerhalb von KI-gestützten Anwendungen stärker zu isolieren, um eine unkontrollierte Weitergabe von Informationen durch die KI an neue Dateien zu unterbinden.
