Die CoSnitch-Schwachstellen in Microsoft Copilot Personal sind kein abstraktes KI-Problem. Sie zeigen einen sehr konkreten Fehler in der Verbindung aus Chatoberfläche, URL-Steuerung und verbundenen Anwendungen. Sicherheitsforscher von Varonis Threat Labs berichten von mehreren Schwachstellen, die unter dem Namen CoSnitch zusammengefasst wurden. Eine davon beruhte demnach auf einem undokumentierten Parameter namens ?autorun=1, den Copilot während der Tests selbst preisgegeben haben soll.
In Kombination mit dem vorhandenen Parameter ?q= konnte ein präparierter Link nach Darstellung der Forscher dazu führen, dass ein Befehl automatisch ausgeführt wurde, sobald ein Nutzer den Link öffnete. Nach Angaben von Varonis reichte dafür ein einzelner Klick. Betroffen war Copilot Personal. Die Schwachstellen konnten demnach dazu genutzt werden, Daten aus verbundenen Anwendungen wie E-Mail-Konten oder Google Drive abzufragen und auszugeben, soweit diese Daten in der jeweiligen Copilot-Sitzung erreichbar waren.
Varonis meldete die Schwachstelle nach eigenen Angaben im Dezember 2025 an Microsoft. Microsoft veröffentlichte laut Bericht am 18. August 2026 Patches. CoSnitch ist in Microsofts Security Update Guide unter CVE-2026-24301 erfasst. Hinweise auf eine Ausnutzung in freier Wildbahn gibt es nach Angaben der Forscher nicht. Der Fall bleibt trotzdem relevant, weil er eine operative Schwäche offenlegt, die bei KI-Assistenten häufiger auftreten kann: Der Assistent ist nicht nur Suchfeld oder Textgenerator, sondern eine Schnittstelle zu Daten, Anwendungen und Aktionen.
Der Fehler lag nicht nur im Modell
Die auffälligste Einzelheit ist der undokumentierte Parameter. Copilot erwähnte ihn laut Varonis während der Untersuchung selbst. Die Forscher bezeichnen die Methode als Meta-Hacking: Wiederholte Nachfragen brachten den Assistenten demnach dazu, Details über seine eigene Architektur und seine Schutzmechanismen offenzulegen. Daraus entstand kein Angriff allein durch Sprache, sondern durch die Kombination von Wissen über interne Bedienlogik und einem technischen Einstiegspunkt.
CoSnitch-Ablauf
Vereinfachte Darstellung des Angriffspfads: präparierter Link, automatische Anfrage, Zugriff auf verbundene Anwendungen und mögliche Datenabfrage.
Das ist der relevante Punkt für Betreiber solcher Systeme. Ein LLM kann in diesem Fall nicht isoliert betrachtet werden. Entscheidend ist die Anwendungsschicht darum herum. Welche URL-Parameter akzeptiert die Oberfläche? Welche Eingaben werden automatisch verarbeitet? Welche Befehle dürfen aus einem Link heraus starten? Welche Datenquellen hängen an der Sitzung? Erst diese Verbindung macht aus einer Chat-Antwort ein Sicherheitsproblem.
Bei CoSnitch trafen laut Varonis mehrere Elemente zusammen: Ein Parameter übergab eine Anfrage, ein weiterer Parameter startete sie automatisch, und Copilot hatte Zugriff auf verbundene Dienste. Der Nutzer musste nicht aktiv einen Befehl eintippen. Er musste nur einen präparierten Link öffnen. Für klassische Webanwendungen ist das Muster nicht neu. Neu ist die Wirkung, wenn die Zielanwendung ein KI-Assistent ist, der semantische Anfragen formulieren, Daten aus mehreren Quellen zusammensuchen und Ergebnisse in einer Sitzung ausgeben kann.
Warum der Ein-Klick-Teil zählt
Für die Risikobewertung ist die Zahl der notwendigen Nutzerhandlungen entscheidend. Ein Angriff, der mehrere Bestätigungen, manuelle Eingaben oder sichtbare Warnungen braucht, ist in Unternehmen anders zu behandeln als ein Link, der nach einem Klick eine Aktion startet. CoSnitch fällt nach Darstellung der Forscher in die zweite Kategorie. Das senkt die operative Hürde für Phishing-Szenarien deutlich, auch wenn keine bekannte Ausnutzung dokumentiert ist.
Ein KI-Assistent mit Zugriff auf persönliche oder geschäftliche Daten ist ein attraktives Ziel, weil er Berechtigungen bündelt. Nutzer verbinden E-Mail, Cloud-Speicher, Kalender oder andere Dienste, damit der Assistent übergreifend arbeiten kann. Aus Sicht der Produktivität ist das gewollt. Aus Sicht der Sicherheit entsteht damit ein zentraler Auswertungspunkt. Wird dieser Punkt über eine präparierte Eingabe gesteuert, kann ein Angreifer nicht nur eine einzelne Datei anvisieren, sondern eine Frage stellen, deren Antwort der Assistent aus verschiedenen Quellen zusammenstellt.
Das verändert auch die Anforderungen an Rechteverwaltung. Es reicht nicht, nur die angeschlossenen Dienste einzeln abzusichern. Die KI-Schicht muss ebenfalls begrenzen, welche Daten in welcher Situation abgefragt, kombiniert und ausgegeben werden dürfen. Wenn ein Link eine Anfrage starten kann, muss die Anwendung prüfen, ob diese Anfrage aus einem vertrauenswürdigen Kontext stammt, ob sie eine Bestätigung braucht und ob sie auf sensible Daten zielt.
Undokumentierte Schnittstellen werden zum Prüfpunkt
Der Parameter ?autorun=1 ist mehr als ein technisches Detail. Undokumentierte Funktionen sind in Softwareprodukten häufig vorhanden: für interne Tests, Komfortfunktionen, alte Abläufe oder Integrationen. Solange sie keine sicherheitsrelevanten Aktionen auslösen, bleiben sie meist ein Wartungsthema. In einer KI-Anwendung können solche Funktionen jedoch eine andere Rolle bekommen, weil sie natürliche Sprache direkt mit Aktionen koppeln.
Für Anbieter folgt daraus eine einfache Konsequenz: Versteckte oder nicht öffentlich dokumentierte Steuerungsoptionen müssen wie normale Angriffsflächen behandelt werden. Sie gehören in Threat Models, Tests, Protokollierung und Berechtigungskonzepte. Besonders kritisch sind Parameter, die Eingaben übernehmen oder automatische Ausführung erlauben. Dass ein Assistent solche Details selbst offenlegen kann, verschärft das Problem. Sicherheitsannahmen dürfen nicht darauf beruhen, dass ein Parameter unbekannt bleibt.
Für Kunden bedeutet der Fall, dass KI-Assistenten nicht wie gewöhnliche Bürosoftware eingeführt werden sollten. Wenn ein Assistent Zugriff auf E-Mail, Cloud-Dateien und andere persönliche Daten erhält, braucht er eigene Kontrollen. Dazu gehören eingeschränkte App-Verbindungen, klare Freigabeprozesse, Monitoring ungewöhnlicher Abfragen und eine vorsichtige Behandlung von Links, die direkt in KI-Sitzungen führen. Das ist kein Sonderfall für Microsoft. Es betrifft jede Plattform, die einen Assistenten mit Datenzugriff und Aktionsfähigkeit ausstattet.
Prompt Injection bleibt ein Architekturproblem
CoSnitch wird in den Kontext von Prompt Injection eingeordnet. Der Begriff ist inzwischen breit, aber der Kern ist technisch eindeutig: Vom Angreifer kontrollierte Inhalte beeinflussen ein System, das eigentlich zwischen Nutzerwunsch, Systemanweisung und Datenkontext unterscheiden müsste. Bei klassischen Anwendungen werden Eingaben strikt typisiert, validiert und begrenzt. Bei LLM-basierten Anwendungen laufen viele dieser Ebenen im selben Kontext zusammen.
Genau dadurch entstehen neue Testanforderungen. Es genügt nicht, nur Modellantworten auf beleidigende, falsche oder unerwünschte Inhalte zu prüfen. Sicherheitsprüfungen müssen untersuchen, ob der Assistent interne Informationen preisgibt, ob er Schutzregeln beschreibt, ob er versteckte Bedienwege nennt und ob solche Informationen mit technischen Schnittstellen kombinierbar sind. Meta-Hacking ist deshalb kein Randphänomen, sondern eine plausible Prüfmethode für Systeme, die ihre eigene Funktionsweise sprachlich erklären können.
Die praktische Abwehr liegt nicht allein im Prompt. Anbieter werden stärkere Trennungen brauchen: zwischen sichtbarer Nutzeranfrage und interner Steuerung, zwischen externen Inhalten und vertrauenswürdigen Anweisungen, zwischen Datenabruf und Datenausgabe, zwischen Link-Aufruf und Befehlsausführung. Auch Bestätigungsdialoge, serverseitige Prüfungen und restriktivere Standardrechte werden wichtiger, wenn ein Assistent mit sensiblen Konten verbunden ist.
Der Patch beendet den Fall, nicht die Klasse
Microsoft hat die Schwachstelle laut Bericht gepatcht und sie ist als CVE-2026-24301 dokumentiert. Damit ist der konkrete Angriffspfad nach aktuellem bekannten Stand geschlossen. Der größere Prüfpunkt bleibt bestehen: KI-Assistenten werden in bestehende Web- und App-Architekturen eingebaut, die über Jahre mit Parametern, Deep Links, internen Funktionen und Komfortmechanismen gewachsen sind. Diese Schicht entscheidet mit darüber, ob ein Modell sicher betrieben werden kann.
CoSnitch ist deshalb vor allem ein Hinweis auf die operative Realität von KI-Sicherheit. Die Schwachstelle entstand nicht aus einem einzelnen spektakulären Modellversagen. Sie entstand an der Nahtstelle zwischen Sprachsystem, Weboberfläche und verbundenen Anwendungen. Genau dort werden Unternehmen in den kommenden Monaten mehr Tests, mehr Protokollierung und strengere Freigaben benötigen. Der Nutzen integrierter Assistenten hängt davon ab, wie zuverlässig diese Nahtstellen kontrolliert werden.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
