CoSnitch erklärt: Wie eine Ein-Klick-Lücke in Microsoft Copilot verknüpfte Daten offenlegen konnte

Damit wurde aus einem theoretischen Szenario eine praktisch nutzbare Angriffskette. Der Parameter allein war nicht die gesamte Schwachstelle. Entscheidend war sein Zusammenspiel mit Copilots normaler Abfragefunktion und weiteren Fähigkeiten.

Die drei Schwachstellen hinter CoSnitch

1. Ein undokumentierter Parameter zur automatischen Ausführung

Copilot unterstützte den undokumentierten Parameter autorun=1. Er konnte bewirken, dass ein Prompt beim Laden einer Seite in einer authentifizierten Sitzung automatisch ausgeführt wurde. Eine klar erkennbare zusätzliche Zustimmung des Nutzers war dabei nicht als regulärer Schritt vorgesehen. Das bildete das erste Glied der Kette.

2. Stille Prompt-Injection über einen präparierten Link

In Verbindung mit Copilots Abfrageparameter q= konnte autorun=1 einen Angreifer-Prompt in einem speziell erstellten Link unterbringen und beim Öffnen des Links auslösen. In der von den Forschern beschriebenen Demonstration musste das Opfer den Prompt nicht über eine offensichtliche weitere Aktion bestätigen.

Der entscheidende Unterschied: Der Angriff musste nicht in einem Gespräch beginnen, das der Nutzer selbst bewusst gestartet hatte. Die Anweisung konnte stattdessen über eine externe Webseite oder Nachricht zugestellt werden. Copilot verarbeitete den Text anschließend innerhalb der bestehenden Sitzung und deren Berechtigungen.

3. Zugriff auf verbundene Daten und dauerhaften Speicher

Der eingeschleuste Prompt konnte Copilot anweisen, Informationen abzurufen, die über die autorisierten Verbindungen des Opfers zugänglich waren. Diese Daten konnten kodiert und mithilfe der URL-Abruffunktion von Copilot an einen vom Angreifer kontrollierten Endpunkt übertragen werden. Außerdem konnte die Kette Copilot dazu bringen, eine vom Angreifer kontrollierte Webseite zusammenzufassen. In deren Inhalt enthaltene bösartige Anweisungen konnten dadurch möglicherweise im dauerhaften Speicher des Assistenten landen.

Das ging über eine gewöhnliche Prompt-Injection hinaus. CoSnitch verband automatische Ausführung, Zugriff auf bereits autorisierte Informationen und einen vom Angreifer kontrollierten Ausgangskanal. Die Manipulation des dauerhaften Speichers erhöhte das Risiko zusätzlich: Bösartige Anweisungen konnten nicht nur die erste Unterhaltung beeinflussen, sondern auch spätere Interaktionen.

Welche Informationen waren potenziell gefährdet?

CoSnitch verschaffte sich nicht unabhängig Zugang zu jedem einzelnen verbundenen Dienst. Die Angriffskette arbeitete mit den Berechtigungen, die der Copilot-Sitzung des Opfers bereits erteilt worden waren. Das mögliche Ausmaß hing daher davon ab, welche Anwendungen und Konten verbunden und autorisiert waren.

Als Beispiele wurden unter anderem Gmail, Google Drive, OneDrive, Kalender, E-Mails, Dateien und der Copilot-Chatverlauf genannt.

Diese Einschränkung ist für die Risikobewertung wichtig: Ein Konto mit wenigen Verbindungen bot eine kleinere Angriffsfläche als ein Assistent, der persönliche oder organisatorische Informationen aus zahlreichen Diensten durchsuchen konnte. Die Reichweite des Angriffs wurde somit maßgeblich durch die Berechtigungen bestimmt, die der Nutzer seinem KI-Assistenten gegeben hatte.

CVE, Schweregrad, Patches und mögliche Ausnutzung

Varonis ordnete die Schwachstellenkette unter CVE-2026-24301 ein und bezeichnete sie als kritisch. Aus der Einstufung lässt sich jedoch kein konkreter CVSS-Score ableiten; die für diesen Artikel bereitgestellten Quellen belegen keinen numerischen Wert.

Varonis zufolge wurde Microsoft im Dezember 2025 über CoSnitch informiert. Die verfügbare Berichterstattung nennt eine zunächst im Februar 2026 eingeführte Abwehrmaßnahme sowie weitere beziehungsweise abschließende Korrekturen, die Microsoft am 18. August 2026 ausgeliefert haben soll. Welche technische Funktion jeweils durch die Februar-Maßnahme und durch die August-Aktualisierung geändert wurde, ist in den vorliegenden Belegen nicht eindeutig dokumentiert.

Varonis meldete keine Hinweise darauf, dass CoSnitch in freier Wildbahn ausgenutzt wurde. Ebenso belegen die bereitgestellten Quellen nicht, dass CVE-2026-24301 im Known Exploited Vulnerabilities Catalog der US-Behörde CISA auftauchte. Das bedeutet: In dem hier geprüften Material ist keine tatsächliche Ausnutzung dokumentiert. Es ist kein Beweis dafür, dass eine solche Ausnutzung niemals stattgefunden hat.

Betraf CoSnitch auch Microsoft 365 Copilot Enterprise?

Die in den Quellen beschriebene Forschung konzentrierte sich auf Microsoft Copilot Personal. Organisatorische Informationen konnten dennoch potenziell in den Risikobereich gelangen, wenn eine Person Copilot Personal nutzte und dabei bei Unternehmensdiensten angemeldet war oder diese mit dem Assistenten verbunden hatte.

Das ist nicht dasselbe wie der Nachweis einer eigenständigen Schwachstelle in Microsoft 365 Copilot Enterprise. Eine der bereitgestellten Quellen betont diese Unterscheidung, während ein anderer Sekundärbericht einen breiteren Einfluss behauptet. Die vorliegenden Belege reichen nicht aus, um diesen Widerspruch abschließend aufzulösen.

Die vorsichtige Schlussfolgerung lautet daher: Unternehmen sollten die Berechtigungen verbundener Konten und den Aktualisierungsstatus prüfen. Die Forschung sollte jedoch nicht als Beleg dafür dargestellt werden, dass Microsoft 365 Copilot Enterprise dieselbe Schwachstelle aufwies.

Wie CoSnitch zu früheren Varonis-Funden passt

CoSnitch gehört zu einer breiteren Reihe von Varonis-Untersuchungen zu KI-Assistenten, die mit den Informationen handeln können, auf die ein Nutzer bereits Zugriff hat:

• Reprompt beschrieb eine Umgehung von Copilot-Schutzmechanismen durch das wiederholte Stellen von Anfragen.
• SearchLeak wurde als Angriff beschrieben, der Microsoft 365 Copilot Enterprise in ein Werkzeug zur unauffälligen Datenexfiltration verwandeln konnte.
• RovoBlast übertrug ein ähnliches Problem auf Atlassian Rovo: Bösartige Inhalte konnten einen Assistenten mit Zugriff auf Unternehmensinformationen dazu bringen, diese offenzulegen oder mit ihnen zu handeln.

Das Besondere an CoSnitch war die Methode der Entdeckung. Die Forscher platzierten nicht nur schädliche Anweisungen in Inhalten, sondern nutzten Copilots eigene Erklärungen darüber, warum eine automatische Ausführung scheitern sollte. So stießen sie auf den undokumentierten Mechanismus, der die Angriffskette überhaupt erst ermöglichte.

Die Kombination aus Selbstoffenlegung des Assistenten, Prompt-Injection, Zugriff auf autorisierte Daten und Manipulation des dauerhaften Speichers machte CoSnitch besonders bemerkenswert.