DepescheSicherheit20. August 2026

CoSnitch: Copilot nennt mitten in der Ablehnung den Parameter, mit dem er sich fernsteuern lässt

Varonis Threat Labs hat am 18. August 2026 den Angriff „CoSnitch“ veröffentlicht (CVE-2026-24301, als kritisch eingestuft). Ein einziger Link genügt: Der undokumentierte URL-Parameter autorun=1 lässt Microsoft Copilot Personal einen mitgegebenen Prompt beim Laden der Seite von selbst ausführen. Der Prompt greift über die verbundenen Konten Daten ab – Varonis nennt Gmail, Google Drive, Google Calendar, OneDrive, Outlook, den Copilot-Chatverlauf und den Persistenzspeicher Copilot Memory –, kodiert sie Base64 in einen URL-Pfad und ruft damit einen Server des Angreifers auf. Gefunden hat Varonis den Parameter nicht durch Reverse Engineering, sondern indem der Assistent selbst gefragt wurde: Copilot legte ihn offen, während er erklärte, warum automatisches Absenden nicht funktioniere. Varonis meldete den Fall im Dezember 2025, Microsoft lieferte die Patches am 18. August 2026 aus.

Aussagen gegen die Quellen geprüft · 21. August 2026

Die Angriffskette in der Darstellung von Varonis: Das Opfer klickt einen Link der Form copilot.microsoft.com/?q=<Prompt>&autorun=1. Der Parameter autorun=1 löst die Ausführung beim Laden aus, weitere Interaktion ist nicht nötig – „One link is all it takes“, schreibt der Report. Der eingeschleuste Prompt weist Copilot an, Daten aus den verbundenen Diensten zusammenzutragen, sie in einen URL-Pfad zu kodieren und diesen abzurufen; als Beispiel zeigt der Report einen Aufruf der Form GET /exfil/ mit Base64-Nutzlast gegen einen vom Angreifer kontrollierten Webhook.

Der zweite Teil ist die Dauer. Weil Copilot Memory zu den erreichbaren Flächen gehört, kann sich die eingeschleuste Anweisung dort festsetzen. Varonis formuliert es so: „The injected instruction remains active in every future Copilot conversation for that user unless the user manually navigates to the memory settings and deletes it.“ Aus einem einmaligen Klick wird damit ein Zustand, den der Nutzer nur durch aktives Aufräumen der Erinnerungen wieder loswird – ohne Hinweis darauf, dass es etwas aufzuräumen gäbe.

Zur Offenlegung nennt der Report zwei Daten: Meldung an Microsoft im Dezember 2025, Auslieferung der Patches am 18. August 2026 – rund acht Monate. Eine stille Teilkorrektur im Februar 2026, die heise in seiner Meldung erwähnt, steht in der Varonis-Fassung nicht; wir führen sie deshalb nicht als belegt. Der Report ordnet CoSnitch ausdrücklich neben den eigenen Vorbefund SearchLeak ein, der die Enterprise-Variante betraf: „SearchLeak turned Microsoft 365 Copilot Enterprise into a silent exfiltration tool.“

// Einordnung der Redaktion

Warum das relevant ist

Interessanter als die Lücke ist der Weg dorthin. Der Assistent hat den undokumentierten Parameter nicht unter Druck preisgegeben, sondern beiläufig beim Ablehnen – Varonis schreibt, Copilot habe ihn „unprompted, mid-refusal“ genannt, samt seiner Vorgeschichte und jeder Schutzmaßnahme, die dagegen ergriffen worden war. Damit wird die Ablehnung selbst zur Aufklärungsquelle: Ein Modell, das begründet, warum etwas nicht geht, beschreibt dabei die Grenze, die es verteidigen soll. Für die Sicherheitsbewertung von Assistenten ist das eine eigene Kategorie neben Prompt-Injection, weil sie keinen Exploit braucht, sondern nur eine höfliche Frage. Zwei Einordnungen gehören dazu: Erstens ist das die Darstellung des Finders; Microsoft hat sich uns gegenüber nicht geäußert, und wir haben den Angriff nicht nachgestellt. Zweitens ist die Bezeichnung wichtig – Varonis beschreibt „Microsoft Copilot Personal“ unter copilot.microsoft.com, also den Endkunden-Assistenten, während die deutsche Rezeption in der Überschrift von „Microsoft 365 Copilot“ spricht. Die Enterprise-Variante war der Gegenstand des früheren Varonis-Befunds SearchLeak, nicht dieses.