Prompt-Injection lernt sich fortzupflanzen: Versteckte Anweisungen vermehren sich über Copilot in Word
Der Sicherheitsforscher Håkon Måløy hat am 28. Juli 2026 eine Angriffskette veröffentlicht, die aus gewöhnlicher Prompt-Injection ein sich selbst verbreitendes Dokument macht: In weißer Schrift auf weißem Grund versteckte Anweisungen führt Copilot in Word aus, sobald das Dokument als Quellmaterial dient – und schreibt sie in das neu erzeugte Dokument mit hinein. Das Ergebnis trägt die Anweisungen unabhängig vom Original weiter. Måløy meldete den Befund am 6. März 2026 an das Microsoft Security Response Center; nach 144 Tagen Abstimmung und zwei Gegenmaßnahmen (3. April und 14. Juli 2026) war der Angriff zum Zeitpunkt der Veröffentlichung nach seiner Darstellung weiterhin reproduzierbar.
Der Angriff läuft in zwei Stufen. Zuerst der Fuß in der Tür: In einem Dokument stehen Anweisungen in weißer Schrift auf weißem Grund – für Lesende unsichtbar, für das Modell gewöhnlicher Text. Wird dieses Dokument als Kontext für „Edit with Copilot“ oder den „magic pen“ herangezogen, führt Copilot die eingebetteten Anweisungen aus, statt sie als Zitat zu behandeln. Zweite Stufe: Copilot schreibt die Anweisungen in das erzeugte Dokument mit hinein. Damit ist aus dem Angriffsmittel ein Träger geworden – das neue, scheinbar interne Dokument löst die Anweisungen beim nächsten Copilot-Durchlauf erneut aus, unabhängig von der ursprünglichen Datei.
Zum Offenlegungsweg: Måløy meldete den Fall am 6. März 2026 an das Microsoft Security Response Center. Aus den üblichen 90 Tagen Koordinierung wurden nach zwei Verlängerungen 144. In dieser Zeit hat Microsoft laut seiner Darstellung zwei Gegenmaßnahmen ausgerollt (3. April und 14. Juli 2026), darunter ein Modellwechsel auf GPT-5.5. Beides genügte nicht: Mit GPT-5.6 sei die Kette am Veröffentlichungstag weiter reproduzierbar gewesen. Microsoft habe das Verhalten bestätigt, zugleich aber eingeräumt, dass für die dahinterliegende Schwachstellenklasse keine belastbare Abhilfe verfügbar sei.
Der Beitrag ist Teil drei einer Reihe des Forschers zum Thema „Context Collapse“ – dem Zusammenfallen von Daten und Anweisungen im Kontextfenster. Für Organisationen ist die praktische Frage weniger, ob dieser eine Weg gepatcht wird, als was daraus für Assistenten folgt, die Dokumente lesen und Dokumente schreiben: Solange die Ausgabe eines Laufs die Eingabe des nächsten sein kann, ist jede Assistenz-Kette auch ein Verbreitungsweg.