Zahlreiche KI-Tools leiden an demselben Problem. Sie lassen sich durch sogenannte Prompt-Injektionen manipulieren. Bei solchen Angriffen werden schädliche Anweisungen an die KI vor den Nutzer:innen versteckt. Die Tools können sie aber problemlos lesen und Schaden anrichten, wenn sie den Anweisungen ohne Widerspruch folgen. Einen solchen Fall zeigt jetzt auch der KI-Sicherheitsforscher Håkon Måløy auf seinem Blog.

Copilot: So wird ein Word-Dokument zum Wurm

Laut dem Sicherheitsforscher müssen Angreifer lediglich ein Word-Dokument erstellen und darin Anweisungen verstecken. In seinem Test reichte es aus, die Schriftfarbe der Anweisungen von Schwarz auf Weiß zu ändern. So ist sie zwar für Nutzer:innen nicht sichtbar, kann aber auch noch von KI-Tools wie Copilot ausgelesen werden. In den Anweisungen steht allerdings nicht nur schädlicher Code für einen einzigen Angriff.

Måløy hat darin auch die Anweisung inkludiert, den Prompt in jedes Dokument einzufügen, das durch die Arbeit von Copilot entsteht. Heißt: Nutzt das KI-Tool ein infiziertes Dokument als Quelle, wird die Anweisung auch in das Resultat eingefügt. Wird selbiges erneut als Quelle genutzt, verteilt sich der schädliche Prompt immer weiter und schafft damit im Grunde einen Computerwurm, der sich selbst vervielfältigen kann.

Als Beispiel nennt der KI-Experte einen Angestellten, der an einem Finanzbericht arbeitet. Er lädt eine Marktanalyse aus dem Internet herunter, die vorab mit der schädlichen Anweisung präpariert wurde. Im Anschluss weist er Copilot an, aus der Analyse und internen Dokumenten einen Bericht zu generieren. Der Prompt weist Copilot an, unbemerkt Zahlen im Fiskalbericht abzuändern. Zudem kopiert das KI-Tool dieselben Anweisungen in das finale Dokument.

Wird der Bericht innerhalb des Unternehmens geteilt, können andere Mitarbeitende und deren Copilot-Instanzen darauf zugreifen. Sobald das Dokument erneut als Referenz genutzt wird, verbreitet sich die schädliche Anweisung und die Manipulation von Daten setzt sich fort. Natürlich könnte der Prompt auch so abgeändert werden, dass er deutlich weitreichendere Folgen hätte. Beim genauen Ablauf und den nötigen Schritten, um das Verhalten von Copilot zu triggern, hält sich Måløy recht vage. Das hat auch einen triftigen Grund. Denn die Sicherheitslücke lässt sich jetzt noch ausnutzen.

So reagiert Microsoft auf das Copilot-Problem

Laut Måløy hat er das Problem schon Anfang März 2026 an Microsoft gemeldet. Obwohl das Unternehmen Ende März die Arbeit an einer Lösung begonnen hatte, konnte die Lücke noch nicht geschlossen werden. Zwischenzeitlich wurden zwei Patches für Copilot veröffentlicht, die das Problem beheben sollten. Wie der Sicherheitsforscher in Tests feststellen musste, lassen sich die Wurmdokumente per Word immer noch erstellen, um von Copilot umgesetzt zu werden.

Im Vorfeld hatte Måløy Microsoft mitgeteilt, dass er seinen Fund nach 90 Tagen mit der Öffentlichkeit teilen würde. Dieser Zeitraum wurde aber zweimal verlängert, wodurch Microsoft insgesamt 144 Tage Zeit hatte, um die Lücke zu schließen. Jetzt hat sich der Sicherheitsforscher trotz fehlender Lösung für die Veröffentlichung entschieden.

In seiner Begründung schreibt er: „Ich habe das sorgfältig abgewogen. Die Zeitspanne, die mit Microsoft vereinbart war, ist abgelaufen und meine Tests zeigen, dass es keine wirksame Lösung für die Sicherheitslücke gibt. […] Meine Argumentation ist, dass Verteidiger keine Risiken reduzieren können, die sie nicht kennen. Und der Mechanismus, der hier beschrieben wurde, betrifft einfache Dokument-Workflows, auf die sich viele Unternehmen verlassen. Die Existenz zurückzuhalten, würde diesen Organisationen die Chance verwehren, klare Entscheidungen zu treffen, ohne jemanden zusätzlich zu schützen.“

Startseite