Microsoft Copilot Wurm zeigt Risiko durch Prompt Injection

Ein wurmähnlicher Angriff in Microsoft Copilot for Word hat eine langjährige KI-Sicherheitsbedrohung in eine konkrete Demonstration verwandelt

Ein Sicherheitsforscher hat gezeigt, dass versteckte Prompt-Injections in Microsoft-Word-Dokumenten von einer Datei zur nächsten wandern können, wenn Menschen Microsoft Copilot for Word verwenden, um Inhalte erneut zu nutzen oder zusammenzufassen. Das Ergebnis ist nicht nur ein einmaliger Exploit, sondern ein sich selbst fortpflanzender Mechanismus, der gewöhnliche Dokumente zu Trägern machen kann.

Laut den berichteten Erkenntnissen funktioniert der Angriff, indem Anweisungen in ein Dokument auf eine Weise eingebettet werden, die menschlichen Lesern wahrscheinlich entgeht, etwa weißer Text auf weißem Hintergrund in extrem kleiner Schriftgröße. Der Forscher sagt, Copilot entferne Farb- und Schriftgrößenformatierungen, bevor der Text verarbeitet werde. Dadurch bleiben die versteckten Anweisungen für das KI-System sichtbar, selbst wenn sie für die Person, die das Dokument betrachtet, praktisch unsichtbar sind.

Dieser Unterschied ist wichtig, weil er eine Lücke zwischen dem schafft, was ein Nutzer in einer Datei zu sehen glaubt, und dem, was der KI-Assistent tatsächlich liest. Wenn Copilot beim Erstellen eines neuen Dokuments den verborgenen Anweisungen folgt, kann der injizierte Text in diese Ausgabe übernommen werden. Die neue Datei wird dann zu einem weiteren Träger. Wird dieses zweite Dokument später als Quellmaterial verwendet, können dieselben versteckten Anweisungen erneut ausgelöst werden.

Warum diese Demonstration wichtig ist

Prompt Injection wird oft als ungelöstes Problem in KI-Systemen beschrieben, doch viele Diskussionen bleiben abstrakt. Dieser Fall ist spezifischer und beunruhigender, weil er zeigt, wie sich die Schwachstelle durch normale Office-Workflows bewegen kann. Eine bösartige Datei muss den Nutzer nicht dazu bringen, im traditionellen Sinn Code auszuführen. Sie muss nur in den Arten von Dokumentenbearbeitungsaufgaben verwendet werden, die Wissensarbeiter jeden Tag erledigen.

Das berichtete Szenario zeigt, wie eine infizierte Marktanalyse, die aus dem Internet heruntergeladen wurde, einen mit Copilot erstellten Finanzbericht beeinflussen könnte. Übernimmt der Bericht die versteckten Anweisungen, kann er spätere Entwürfe, abgeleitete Zusammenfassungen oder Vorlagen-Dokumente kontaminieren. Mit anderen Worten: Die Produktivitätsfunktion, die Dokumente leicht wiederverwendbar macht, schafft auch einen Pfad, über den der Angriff fortbestehen kann.

Das ist ein deutlicher Unterschied zu klassischem Phishing oder Makro-Malware. Das hier beschriebene Risiko hängt damit zusammen, wie ein KI-Modell Sprache innerhalb vertrauenswürdiger Geschäftsinhalte interpretiert. Das zugrunde liegende Dokument mag harmlos wirken, eine flüchtige Prüfung bestehen und dennoch nachgelagerte Ausgaben verändern.

Microsoft wurde informiert, aber zum Zeitpunkt der Veröffentlichung lag kein Fix vor

Der Forscher hinter dem Angriff, Hakon Maloy, meldete das Verhalten am 31. März an Microsoft, wie aus dem Quellenmaterial hervorgeht. Microsoft bestätigte das Verhalten, doch zwei versuchte Korrekturen sollen fehlgeschlagen sein. Nach 144 Tagen veröffentlichte Maloy die Erkenntnisse, ohne den eigentlichen Payload-Text offenzulegen.

Diese Zeitachse ist aus zwei Gründen wichtig. Erstens deutet sie darauf hin, dass es sich nicht bloß um eine theoretische Frage oder den Effekt eines missverstandenen Edge Cases handelt. Zweitens unterstreicht sie, wie schwierig Prompt-Injection-Probleme in Systemen zu lösen sind, die darauf ausgelegt sind, natürliche Sprache aufzunehmen und zu transformieren. Wenn der Assistent alles in einem Dokument als potenziell nützlichen Kontext lesen soll, wird die Unterscheidung zwischen legitimen und bösartigen Anweisungen technisch und produktseitig komplex.

Die Veröffentlichung der Ergebnisse ohne öffentlichen Fix erhöht auch den Druck auf Enterprise-KI-Anbieter. Copilot und ähnliche Werkzeuge werden zunehmend als Assistenten für das Entwerfen, Bearbeiten, Zusammenfassen und Verdichten von Informationen über interne Unternehmensdateien hinweg vermarktet. Damit wird Vertrauen in Dokumentgrenzen und im Umgang mit Anweisungen zentral für die Produktsicherheit.

Ein Produktivitätsproblem im Büro, nicht nur ein KI-Laborproblem

Ein Grund, warum dieser Fall heraussticht, ist, dass er in einem weit verbreiteten Produktivitätskontext auftritt und nicht in einer eng begrenzten Chatbot-Oberfläche. Word-Dokumente werden routinemäßig zwischen Teams, Abteilungen, Partnern und externen Quellen geteilt. Viele Organisationen ermutigen ihre Mitarbeitenden aktiv dazu, mehr solcher Dokumente in KI-Copilots zu geben, um Zeit zu sparen.

Der im Bericht beschriebene Exploit legt nahe, dass Bequemlichkeit auch zur Angriffsfläche werden kann. Ein Nutzer muss womöglich keinen gefährlichen Anhang anklicken, keine Makros aktivieren und keine verdächtige Software installieren. Stattdessen könnte schon der bloße Vorgang, Copilot beim Schreiben eines neuen Dokuments auf Basis eines alten zu helfen, ausreichen, um versteckte Anweisungen zu replizieren.

Das macht Verteidigungsgewohnheiten schwerer definierbar. Traditionelle Sicherheitsrichtlinien konzentrieren sich oft auf sichtbare Warnzeichen oder ausführbaren Inhalt. Hier besteht das riskante Material aus reinem Text, der lediglich so formatiert wurde, dass er menschliche Aufmerksamkeit umgeht, aber für das Modell lesbar bleibt. Der Angriff nutzt also eine Diskrepanz zwischen menschlicher und maschineller Wahrnehmung innerhalb derselben Datei aus.

Was die Demonstration über den Stand der KI-Sicherheit sagt

Die übergeordnete Erkenntnis ist, dass Prompt Injection in realen Produkten weiterhin ungelöst ist, besonders dort, wo Modellen weitreichende Autorität gegeben wird, gemischt vertrauenswürdige Eingaben zu interpretieren. Versteckte Anweisungen in externen Dokumenten, Webseiten, E-Mails oder Anhängen sind ein bekanntes Problem in KI-Systemen. Dieses Beispiel fügt einen Verbreitungsmechanismus hinzu, der das Problem schwerer eindämmbar macht, sobald ein bösartiges Dokument in einen Workflow gelangt.

Der Bericht widerspricht auch der Vorstellung, Prompt Injection sei vor allem ein Ärgernis, das nur seltsame Antworten erzeugt. In diesem Fall ist die Gefahr operativ. Eine bösartige Anweisung kann in normalen geschäftlichen Artefakten überleben und sich durch alltägliche Wissensarbeit ausbreiten. Selbst ohne zerstörerische Codeausführung entstehen so Integritätsrisiken für Berichte, Zusammenfassungen, Planungsdokumente und andere Aufzeichnungen, denen Mitarbeitende vertrauen.

Die Entscheidung des Forschers, den eigentlichen Payload-Text zurückzuhalten, begrenzt zwar etwas die unmittelbare Nachahmung, aber die veröffentlichte Beschreibung reicht aus, um die Fehlerklasse zu zeigen. Für Unternehmen, die KI-Copilots evaluieren, ist die Lehre klar: Das Einlesen von Dokumenten darf nicht als sicher gelten, nur weil die Quelle wie gewöhnlicher Büroinhalt aussieht.

Je stärker Unternehmen auf KI-Schreibwerkzeuge setzen, desto mehr wird die Grenze zwischen Inhalt und Befehl zu einer der wichtigsten zu verteidigenden Sicherheitslinien. Diese Demonstration zeigt, dass diese Linie in aktuellen Systemen immer noch zu leicht verwischt werden kann.

Dieser Artikel basiert auf einer Berichterstattung von The Decoder. Zum Originalartikel.