Ein Link reichte aus, um Ihren Copilot zu leeren, und die Reparatur dauerte acht Monate
Microsoft hat CVE-2026-24301 am 18. August gepatcht. Varonis nennt es CoSnitch: Ein einziger Klick auf einen manipulierten Link veranlasste Copilot, Gmail, Drive und Kalender eines Opfers zu lesen und den Inhalt an einen Fremden zu senden.
Microsoft hat am 18. August einen Patch für einen kritischen Fehler in Copilot Personal veröffentlicht, den Forscher von Varonis Threat Labs CoSnitch nannten. Mit 8,8 von 10 Punkten bewertet und als CVE-2026-24301 getrackt, bewirkte es etwas unangenehm Einfaches: Ein Klick auf einen normal aussehenden Link reichte aus, damit ein Angreifer alles lesen konnte, was der Copilot des Opfers erreichen konnte, und es stillschweigend verschickte. Varonis meldete das Problem im Dezember 2025. Die vollständige Lösung traf etwa acht Monate später ein.
Der Angriff verkettete drei verschiedene Schwachstellen. Erstens bedeutete ein undokumentierter URL-Parameter, dass eine in einen Link eingebettete Eingabeaufforderung in dem Moment ausgeführt wurde, in dem die Seite geladen wurde, ohne dass auf die Schaltfläche „Senden“ geklickt und keine Bestätigung erforderlich war. Zweitens übernahm diese Eingabeaufforderung die bereits angemeldete Sitzung des Opfers, sodass sie alles abfragen konnte, was der Benutzer verbunden hatte: Gmail, Google Drive, Kalender, den Chatverlauf von Copilot und den Speicher von Copilot. Drittens wurde die gewöhnliche Fähigkeit von Copilot, eine Webseite abzurufen und zusammenzufassen, zum Lieferwagen. Die Eingabeaufforderung packte die gesammelten Daten in eine Webadresse und forderte Copilot auf, sie abzurufen, sodass der Diebstahl im Netzwerk genau so aussah, als würde Copilot einen anderen Link abrufen.
Es gibt eine dritte Schwäche, die einen eigenen Absatz wert ist, denn sie bleibt bestehen. Varonis zeigte, dass eine präparierte Webseite, wenn sie von Copilot zusammengefasst wird, Angreiferanweisungen in den permanenten Speicher von Copilot schreiben kann. Dies wird als indirekte Prompt-Injection bezeichnet: Die schädliche Anweisung befindet sich in Inhalten, die der Assistent in Ihrem Namen liest, und nicht in etwas, das Sie eingegeben haben. Das Opfer sieht eine völlig normale Zusammenfassung. Die Anweisung bleibt bestehen. Es übersteht Passwortänderungen, Sitzungswiderrufe und erneute Registrierung des Geräts, da es im Speicher des Assistenten und nicht in einer Sitzung gespeichert wird. Varonis fand keine Anzeichen dafür, dass der Angriff vor dem Patch in freier Wildbahn eingesetzt wurde.
Die Entdeckungsmethode ist eine eigene Geschichte. Die Forscher haben nichts per Reverse Engineering analysiert. Sie forderten Copilot immer wieder auf, zu erklären, warum eine automatische Prompt-Ausführung unmöglich sei, und jede Ablehnung war mit einer technischen Begründung versehen, die die Suche noch weiter einschränkte. Schließlich nannte der Assistent mitten in der Ablehnung den undokumentierten Parameter selbst. Varonis nennt dies Meta-Hacking, und es ist der Teil, der über Microsoft hinaus verallgemeinert: Jeder Assistent, der seine eigene Argumentation in einfacher Sprache erklärt, kann dazu überredet werden, seine eigenen Grenzen zu beschreiben.
Was das für Sie bedeutet: Wenn Sie Copilot Personal verwenden, wenden Sie Updates an und sehen Sie sich dann die Speichereinstellungen von Copilot an, da dort immer noch ein fehlerhafter Speichereintrag vorhanden wäre. Es ist eine Seite, die fast niemand öffnet. Darüber hinaus geht es in der dauerhaften Lektion um Steckverbinder. Jeder Dienst, den Sie mit einem KI-Assistenten verknüpfen, erweitert die Reichweite eines einzigen falschen Klicks. Verbinden Sie also nur das, was Sie tatsächlich nutzen, und trennen Sie den Rest. Und behandeln Sie jeden Link, der eine Eingabeaufforderung in einem KI-Tool vorab ausfüllt, so, wie Sie einen unerwarteten Anhang behandeln würden: Lesen Sie, was darin steht, bevor er ausgeführt wird. Dies ist der dritte One-Click-Copilot-Fehler, den Varonis dieses Jahr veröffentlicht hat, was darauf hindeutet, dass das Muster noch nicht abgeschlossen ist.
Quellen
Europas nächste KI-Rechenzentren werden 175 Kilometer von jedem Ort entfernt gebaut, denn dort ist der Strom
JLL-Zahlen zeigen, dass Europas kommende KI-Rechenzentren durchschnittlich 175 km von wichtigen Knotenpunkten entfernt liegen werden, gegenüber 46 km bei Projekten von 2022 bis 2025. Befeuertes Land kostet in Amsterdam 2,36 Millionen Euro pro Megawatt, anderswo sind es 512.000.
