Mobile-Menu

Toms Wochentipp: Reprompt-Angriff auf Microsoft Copilot Lücke ermöglicht Ein-Klick-Exfiltration über vorbefüllte URLs

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
netfiles GmbH
EASY SOFTWARE AG

Die Sicherheitsforschung identifiziert mit Reprompt einen Angriffspfad gegen Microsoft Copilot Personal, der über vorbefüllte URL-Abfragen und nachgelagerte Serverbefehle personenbezogene Daten abzieht. Ein einzelner Klick reicht aus.

Ein Klick genügt: Reprompt kapert Copilot-Sitzungen über URL-Parameter.(Bild: Microsoft)
Ein Klick genügt: Reprompt kapert Copilot-Sitzungen über URL-Parameter.
(Bild: Microsoft)

Varonis Threat Labs beschreibt den Angriff auf Copilot-Sitzungen mit der Bezeichnung „Reprompt“ als Verkettung mehrerer Techniken, die vorhandene Funktionen der Copilot-Weboberfläche nutzen. Der Einstieg erfolgt über den URL-Parameter q, der beim Laden der Seite den Prompt direkt ausführt. Die Sitzung bleibt aktiv, auch nach dem Schließen des Chats. Angreifer behalten damit Kontrolle über Folgeaktionen und lesen Kontext, Verlauf und Metadaten aus, ohne lokale Indikatoren zu erzeugen. Die Methode greift ohne Plug-ins, ohne Konnektoren und ohne Eingaben im Chat.

Technischer Ablauf und Angriffslogik

Reprompt kombiniert eine Parameter-basierte Prompt-Injektion mit einer Doppelanforderung und einer fortlaufenden Kettenlogik. Die erste Phase füllt den Prompt aus der URL und startet die Ausführung. In der zweiten Phase erzwingt eine doppelte Ausführung identischer Aktionen eine Umgehung der anfänglichen Schutzlogik. Die dritte Phase verschiebt die Steuerung vollständig auf den Server des Angreifers. Folgeanweisungen reagieren dynamisch auf vorherige Antworten und fordern weitere Informationen an.

Die tatsächliche Zielsetzung bleibt im Startprompt verborgen. Die Ausnutzung bleibt also für lokale Prüfmechanismen unsichtbar und läuft ohne weitere Interaktion weiter. Der Fix liegt seit 14. Januar 2026 vor.

Auswirkungen und Abgrenzung

Der Angriff betrifft Copilot Personal. Unternehmenseinsätze mit Microsoft 365 Copilot bleiben unberührt. Microsoft bestätigt die Lücke. Die Schwachstelle unterscheidet sich von promptbasierten Lecks, da sie ohne Eingaben, ohne Erweiterungen und ohne aktivierte Datenquellen auskommt. Der Zugriff erfolgt aus dem bestehenden Sitzungskontext.

Die Untersuchung macht deutlich, dass Angriffe über externe Eingaben nicht nur am Einstieg stattfinden, sondern den gesamten Ablauf betreffen. Schutzmechanismen müssen daher bei aufgerufenen Links, wiederholten Aktionen und nachgeladenen Anweisungen gleichermaßen greifen. KI-Systeme arbeiten mit umfangreichen Zugriffsrechten und benötigen daher streng begrenzte Berechtigungen, eine durchgehende Protokollierung aller Aktionen und eine fortlaufende Erkennung auffälliger Abläufe über den kompletten Dialog hinweg.

(ID:50703872)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte