Unsichtbarer Text in einer Word-Datei kann Copilot übernehmen – und sich in neuen Dokumenten weiterverbreiten
Ein Forscher zeigt, wie versteckte Anweisungen in einem Dokument Microsoft 365 Copilot dazu bringen, Zahlen zu verändern und den Befehl in die neue Datei zu kopieren. Microsofts Gegenmaßnahmen schließen die Lücke bislang nicht.
Der Forscher Hakon Maloy hat eine Technik offengelegt, die ein gewöhnliches Word-Dokument zur Falle für Microsoft 365 Copilot macht. Dafür werden Anweisungen als weißer Text auf weißem Hintergrund in der Datei versteckt. Soll Copilot anschließend auf Grundlage des Dokuments einen Text verfassen oder bearbeiten, befolgt das System die unsichtbaren Befehle, als hättest du sie selbst eingegeben. In Maloys Vorführung veränderte Copilot Zahlen in einem Bericht. Er veröffentlichte seine Ergebnisse am 28. Juli – 144 Tage nachdem er Microsoft im März über das Problem informiert hatte.
Mehr als ein einfacher Vorführeffekt wird der Angriff durch den nächsten Schritt. Copilot erstellt das fertige Dokument und hängt dieselben Anweisungen erneut als unsichtbaren weißen Text an. Damit wird die neue Datei selbst zum Träger: Wer sie später wieder von Copilot verarbeiten lässt, löst dasselbe Verhalten aus und erzeugt den nächsten Träger. Deshalb sprechen Forschende von einem wurmartigen Angriff. Microsoft hat Gegenmaßnahmen eingeführt und die zugrunde liegenden Modelle erst auf GPT-5.5, dann auf GPT-5.6 aktualisiert. Umformulierte Varianten der schädlichen Anweisung gelangen jedoch weiterhin durch. Das Grundproblem heißt indirekte Prompt-Injection. Ein Modell kann nicht zuverlässig unterscheiden, welcher Text nur gelesen werden soll und welcher ihm einen Befehl erteilt – für das Modell ist beides zunächst einfach Text.
Was dahintersteckt
Eine saubere Lösung ist nicht in Sicht. Das ist die ehrliche Überschrift hinter diesem Fall. Jeder Assistent, der fremde Dokumente liest, ist konstruktionsbedingt angreifbar. Beim Einlesen einer Datei verschwindet meist zuerst die Formatierung. Weißer Text auf weißem Grund, Ein-Punkt-Schrift und in Metadaten versteckte Inhalte kommen deshalb als normale, lesbare Anweisungen beim Modell an. Anbieter reagieren mit Filtern und besser abgestimmten Modellen, Angreifer mit neuen Formulierungen – dann beginnt die Runde von vorn. Maloys Rat ist entsprechend nüchtern: Behandle externe Dokumente als nicht vertrauenswürdige Eingaben, so wie du es bei E-Mail-Anhängen bereits tun solltest.
Was das für dich bedeutet: Nutzt du Copilot, Gemini in Docs oder einen anderen Assistenten zur Dateizusammenfassung, helfen zwei Gewohnheiten. Lies das Ergebnis vor dem Weiterleiten, besonders alle Zahlen. Und sei bei Dokumenten von außerhalb deiner Organisation vorsichtiger als bei Dateien aus dem eigenen Team. Eine verdächtige Datei kannst du prüfen, indem du den gesamten Text markierst und schwarz färbst oder in einen einfachen Texteditor kopierst. Versteckte Befehle werden sofort sichtbar. Für die meisten Menschen ist das kein Grund, auf solche Werkzeuge zu verzichten. Es ist ein Grund, ihre Ergebnisse weiterhin zu lesen.
Quellen
Quellen: https://thehackernews.com/2026/07/microsoft-copilot-for-word-can-copy.html
Microsoft will nicht länger dem größten KI-Modell nachjagen, sondern kleine Spezialisten bauen
Für Mustafa Suleyman zählt Effizienz pro Token mehr als maximale Rohleistung. Microsoft trainiert kompakte Modelle für einzelne Fachgebiete und lässt schwierige Fälle von einem Orchestrator weiterreichen.
