Microsoft Copilot verriet selbst, wie man dein Postfach ausliest

Sicherheitsforscher von Varonis haben Microsofts KI-Assistenten Copilot dazu gebracht, seine eigene Schwachstelle zu verraten. Sie fragten ihn wieder und wieder, warum sich ein Befehl nicht von allein ausführen lasse. Copilot begründete jede Absage technisch. Mitten in einer dieser Absagen nannte er einen undokumentierten Zusatz für die Adresszeile, samt der Sperren, die Microsoft dafür eingebaut hatte. Die Forscher bauten die Adresse genau so nach. Sie funktionierte.

Microsoft hat die Lücke am 18. August geschlossen. Sie läuft unter der Kennung CVE-2026-24301 und ist als kritisch eingestuft, mit einem CVSS-Wert von 8,8 von 10. CVSS ist die Standardskala, mit der die Branche die Schwere von Sicherheitslücken bewertet. Betroffen war Copilot in der Fassung für Privatnutzer, also die App, die Microsoft gerade erst mit der Abo-Variante zusammengelegt hat.

Ein Klick, und der Assistent arbeitete für Fremde

Der Angriff, von Varonis CoSnitch getauft, brauchte nur einen Link. Wer ihn anklickte, öffnete Copilot in der eigenen, bereits angemeldeten Sitzung. Der Zusatz in der Adresse sorgte dafür, dass ein fremder Auftrag sofort startete, ohne Rückfrage und ohne Klick auf Senden. Copilot durchsuchte daraufhin das verbundene Postfach, den Kalender und den Cloudspeicher, packte die Funde in eine Webadresse und rief diese ab. Für die Schutzsoftware im Netzwerk sah das aus wie eine ganz normale Seite, die Copilot zusammenfassen soll.

In den Tests der Forscher landeten so Passwörter, die jemand einfach per Mail verschickt hatte. Dazu Termine mit Teilnehmern und Orten, Dateinamen aus dem Cloudspeicher und der bisherige Chatverlauf.

Warum ein neues Passwort nicht half

Der unangenehmste Teil steckt im Langzeitgedächtnis. Copilot merkt sich Dinge über einzelne Unterhaltungen hinaus. Bat man ihn, eine präparierte Webseite zusammenzufassen, schrieb er die dort versteckten Anweisungen in dieses Gedächtnis. Für den Nutzer sah die Antwort aus wie eine normale Zusammenfassung. Dass sich einem Assistenten auf diesem Weg heimlich Befehle unterschieben lassen, ist keine neue Erkenntnis.

Der Eintrag blieb danach liegen. Ein neues Passwort räumte ihn nicht weg, das Abmelden aller Sitzungen ebenso wenig, und auch das Gerät neu anzumelden half nicht. Genau diese drei Schritte macht man üblicherweise, wenn man einen fremden Zugriff vermutet.

Was du jetzt prüfen kannst

Microsoft hat die Lücke auf den eigenen Servern behoben, installieren muss niemand etwas. Varonis fand keine Hinweise darauf, dass jemand den Angriff tatsächlich eingesetzt hat. Gemeldet wurde er im Dezember 2025, der Fix kam acht Monate später.

Wer trotzdem nachsehen will: Auf copilot.microsoft.com führt der Konto-Knopf in der Seitenleiste zum gespeicherten Gedächtnis. Dort stehen alle Einträge, einzeln löschbar oder auf einen Schlag. Was dort nicht hingehört, fällt beim Durchlesen meist sofort auf.

CoSnitch ist die dritte Copilot-Lücke, die Varonis in diesem Jahr gefunden hat. Die beiden anderen liefen nach demselben Muster: ein Klick auf einen Link, der harmlos aussah.