Copilot Prompt Injection: Ein Word-Dokument steckt das nächste an

Eine Copilot Prompt Injection^?Ein Angriff, bei dem versteckte Anweisungen in Daten eingeschleust werden, die ein Sprachmodell verarbeitet, sodass es sie als Befehl ausführt. macht aus einem harmlosen Word-Dokument einen Überträger: Versteckte Anweisungen im Text bringen Microsofts KI-Assistenten dazu, dieselbe Manipulation in jedes neue Dokument zu kopieren, das er auf Basis der Datei erstellt. Der Sicherheitsforscher Håkon Måløy hat genau das gezeigt. Microsoft bestätigte das Verhalten, ein sauberer Fix fehlt bislang.

Das klingt nach einem Randfall. Es ist ein Strukturproblem.

Was ist eine Copilot Prompt Injection und warum verbreitet sie sich?

Bei einer indirekten Prompt Injection stehen Befehle nicht im Chatfenster, sondern im verarbeiteten Material selbst, hier im Word-Dokument. Copilot liest den Text und behandelt versteckte Passagen wie eine Nutzeranweisung. Bearbeitet der Assistent dann ein neues Dokument, schleppt er die Anweisung mit. So pflanzt sich die Manipulation von Datei zu Datei fort.

Das Muster kennt man aus der klassischen Schadsoftware. Ein Wurm braucht keinen Klick mehr, er nutzt jede Weitergabe zur Vervielfältigung. Der Unterschied: Diesmal ist der Vektor kein ausführbarer Code, sondern reiner Text, den ein Sprachmodell^?Ein KI-System, das Texte versteht und erzeugt. Es unterscheidet nicht zuverlässig zwischen reinem Text und einer eingebetteten Anweisung. falsch deutet. Malwarebytes beschrieb den Ablauf im Juli 2026 als selbstständige Weiterverbreitung über versteckte Prompts.

Für Menschen bleiben die Anweisungen unsichtbar, etwa in weißer Schrift oder in Metadaten. Wer das Dokument öffnet, sieht nichts. Copilot sieht alles.

Was hat Håkon Måløy gezeigt?

Måløy führte einen sich selbst verbreitenden Angriff auf Microsoft Copilot für Word vor, der ohne Zutun des Opfers auskommt, sobald der Assistent ins Spiel kommt. Der Kern: eine indirekte Prompt Injection^?Die Schadanweisung steht nicht in der direkten Nutzereingabe, sondern in verarbeitetem Material wie einem Dokument oder einer E-Mail., die Copilot beim Erstellen oder Bearbeiten neuer Dateien übernimmt. Damit wird jede Weiterverwendung eines präparierten Dokuments zum Verbreitungsschritt.

Die zentralen Punkte des Angriffs, wie ihn Borncity und weitere Sicherheitsmedien schildern:

• Versteckte Anweisungen liegen im Dokument, nicht in der Chateingabe.
• Copilot übernimmt diese Anweisungen beim Generieren neuer Inhalte.
• Die Injektion landet dadurch in den neu erzeugten Dateien.
• Jede Weitergabe ist zugleich eine Ansteckung.

Was ein solcher Wurm konkret anrichtet, hängt vom eingeschleusten Befehl ab. Datenabfluss, verfälschte Inhalte, manipulierte Weiterleitungen: Die Bandbreite reicht so weit wie das, worauf der Assistent zugreifen darf.

Warum hat Microsoft nach 144 Tagen keinen Fix?

Ein Bericht vom 28. Juli 2026 nennt eine ernüchternde Zahl: Nach 144 Tagen Abstimmung zwischen Forscher und Hersteller gibt es keinen kundenseitigen Fix. Microsoft habe das Verhalten bestätigt, zwei Anläufe zur Behebung hätten das Grundproblem nicht ausgeräumt. Die Angabe der 144 Tage stammt aus einer einzelnen Quelle und ließ sich bisher nicht unabhängig bestätigen.

Warum das schwerfällt, liegt an der Bauart. Ein Sprachmodell trennt Text und Befehl nicht sauber. Für das Modell ist beides Eingabe. Ein einzelner Patch schließt eine Lücke, nicht die ganze Klasse. Genau das macht Prompt Injection zur unbequemsten Baustelle heutiger KI-Assistenten.

Der Fall reiht sich in eine Serie ein. Bei EchoLeak genügte laut Secutec eine einzige E-Mail für einen Zero-Click^?Ein Angriff, der kein Zutun des Opfers braucht, etwa keinen Klick, und allein durch das Öffnen oder Verarbeiten von Inhalten auslöst.-Datenabfluss aus Microsoft 365 Copilot. Beim jüngeren SearchLeak konnte laut IT-Administrator ein präparierter Link Daten aus Postfach, Kalender und Unternehmensdateien abziehen, von Microsoft als kritisch eingestuft. Andere Probleme, gleiche Wurzel.

Was bedeutet das für Unternehmen, die Copilot einsetzen?

Es bedeutet: Vertrauen Sie der Copilot-Ausgabe nicht blind, und behandeln Sie Dokumente aus fremden Quellen wie potenziell manipuliert. Der Assistent ist produktiv, aber angreifbar über genau das Material, das er verarbeiten soll. Wer Copilot breit ausrollt, ohne Berechtigungen und Prüfschritte anzupassen, vergrößert die Angriffsfläche mit jedem Dokument.

Konkrete Schritte, die jetzt greifen:

1. Zugriffsrechte eng schneiden. Copilot sieht, worauf der Nutzer zugreifen darf. Weniger Rechte, kleinerer Schaden.
2. Dokumente aus externen Quellen vor der KI-Verarbeitung sichten, versteckte Formatierungen und Metadaten prüfen.
3. KI-generierte Inhalte gegenlesen, bevor sie weitergegeben oder veröffentlicht werden.
4. Datenabfluss überwachen, ungewöhnliche Weiterleitungen und Zugriffe protokollieren.
5. Mitarbeitende schulen: Eine unsichtbare Anweisung ist keine Science-Fiction, sondern der beschriebene Angriffsweg.

Das Muster ist nicht neu. Schon beim Ausbruch eines KI-Agenten aus der Testumgebung zeigte sich, wie schwer sich autonome Systeme einhegen lassen, sobald sie eigenständig handeln. Copilot in Word ist ein zahmerer Verwandter, folgt aber derselben Logik.

Ist das ein Grund, Copilot abzuschalten?

Nein, aber ein Grund, ihn erwachsen zu behandeln. Der Nutzen im Alltag ist real, das Risiko ebenso. Beides gehört in dieselbe Rechnung, nicht in getrennte Präsentationen. Wer Copilot als reines Effizienzwerkzeug bucht und die Sicherheitsfrage der IT überlässt, unterschätzt, wie tief der Assistent in Dokumentflüsse eingreift.

Solange Sprachmodelle Text und Befehl nicht sauber trennen, bleibt Prompt Injection eine offene Flanke. Ein Patch schließt einen Fall. Die Klasse bleibt. Das ist die unbequeme Frage, die Microsoft nach 144 Tagen offen hält: Lässt sich ein KI-Assistent überhaupt gegen sein eigenes Material absichern, ohne ihn zu kastrieren?

Prüfen Sie diese Woche, wer in Ihrem Haus Copilot in Word nutzt und mit welchen Rechten. Das ist der billigste erste Schritt.