Der Sicherheitsforscher Håkon Måløy hat die Funktionsweise eines sich selbst verbreitenden Computerwurms innerhalb von Microsoft Copilot für Word demonstriert. Durch den Einsatz von sogenannter Prompt-Injection gelingt es, die KI-Assistenz zur Übernahme versteckter Befehle zu zwingen. Die Entdeckung verdeutlicht grundlegende Sicherheitsrisiken bei der Integration von Künstlicher Intelligenz in Bürosoftware, da der Wurm in der Lage ist, eigenständig neue infizierte Dokumente zu erstellen und sich über Unternehmensinfrastrukturen zu verteilen.
Funktionsweise über versteckte Anweisungen
Die von Måløy präsentierte Methode nutzt das Prinzip der indirekten Prompt-Injection. Dabei wird bösartiger Code in Form von weißem Text auf weißem Hintergrund in ein Word-Dokument eingebettet. Während diese Anweisungen für das menschliche Auge unsichtbar bleiben, erfasst der Microsoft Copilot die Daten bei der Verarbeitung des Dokuments. Die versteckten Befehle weisen die KI an, den Schadcode in jedes neu erstellte Dokument zu kopieren.
Auf diese Weise entstehen sogenannte Trägerdateien. Sobald ein Nutzer den Copilot bittet, ein infiziertes Dokument zusammenzufassen oder darauf Bezug zu nehmen, wird die Infektionskette fortgesetzt. Ein besonderes Sicherheitsrisiko stellt dabei der Umstand dar, dass kein spezieller Systemzugriff oder administrative Rechte erforderlich sind. Das bloße Referenzieren des vergifteten Dokuments durch die KI genügt, um die Verbreitung zu starten.
Erfolglose Nachbesserungen und zeitlicher Verlauf
Die Veröffentlichung der Ergebnisse erfolgte nach einem Zeitraum von 144 Tagen, in denen kein funktionierender Fix für das Problem bereitgestellt wurde. Microsoft hatte das zugrundeliegende Verhalten bereits am 31. März 2026 bestätigt. In der Folgezeit unternahm der Softwarekonzern mehrere Versuche, die Sicherheitslücke zu schließen.
Sicherheitsanalysen zeigen jedoch, dass die am 3. April und am 14. Juli 2026 implementierten Schutzmaßnahmen umgangen werden konnten. Die Angriffskette blieb somit vollständig reproduzierbar. Die Schwierigkeit bei der Behebung liegt offenbar in der Natur der Prompt-Injections, die nach wie vor ein weitgehend ungelöstes Problem in der Sicherheit von KI-Modellen darstellen.
Wer sich mit den neuen Cyberrisiken durch KI befasst, muss die rechtlichen Pflichten und Bedrohungen für seinen Betrieb genau kennen. Dieser kostenlose Report klärt auf, welche Sicherheitsanforderungen Unternehmer jetzt umsetzen müssen. KI-Gesetze und Cyberrisiken: Kostenlosen Report anfordern
Risiken für die Unternehmenskommunikation
Die Verbreitung des Wurms erfolgt über zentrale Kollaborationsplattformen wie SharePoint, Microsoft Teams und OneDrive sowie über den klassischen E-Mail-Verkehr. In der Praxis könnte dies weitreichende Folgen für die Integrität von Unternehmensdaten haben. Ein kompromittierter Marktanalyse-Bericht wäre beispielsweise in der Lage, nachfolgende Finanzberichte zu manipulieren, indem die KI durch die injizierten Befehle falsche Daten oder Schlussfolgerungen generiert.
Interessanterweise hatte der KI-Forscher Andreas Kirsch die Entwicklung eines solchen Wurms bereits in der Vergangenheit scherzhaft vorhergesagt. Die aktuelle Demonstration zeigt nun, dass dieses theoretische Szenario technisch umsetzbar ist.
Angesichts der Zunahme komplexer Cyberangriffe ist ein proaktiver Schutz der Unternehmensinfrastruktur wichtiger denn je. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihr Unternehmen langfristig absichern. Gratis-Ratgeber: IT-Sicherheit im Unternehmen stärken
Empfehlungen für Anwender
Angesichts der bestehenden Sicherheitslage raten Experten zu erhöhter Vorsicht im Umgang mit KI-gestützten Werkzeugen. Nutzer sollten externe Dokumente grundsätzlich als nicht vertrauenswürdig behandeln, selbst wenn sie über interne Kanäle geteilt werden. Es wird dringend empfohlen, sämtliche von einer KI generierten Inhalte vor der weiteren Verwendung manuell zu verifizieren.
Zudem sollten Unternehmen prüfen, ob sie den Einsatz von Copilot in Microsoft Word vorübergehend deaktivieren, bis eine belastbare Lösung für das Problem der Prompt-Injections vorliegt. Die aktuelle Schwachstelle unterstreicht, dass die Automatisierung durch KI neue Angriffsvektoren schafft, die mit herkömmlichen Sicherheitsmechanismen bisher nur schwer zu kontrollieren sind.
