Unsichtbarer Text in einer Word-Datei genügt, damit Copilot fremde Anweisungen befolgt und sie in jedes neu erzeugte Dokument weiterschreibt. Der Sicherheitsforscher Håkon Måløy hat den Angriff nach 144 Tagen Abstimmung mit Microsoft offengelegt.[1] Zwei Gegenmaßnahmen später funktioniert er weiterhin.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Am 6. März 2026 hat Måløy bei Microsofts Sicherheitszentrale MSRC gemeldet, dass sich KI-Würmer über Copilot für Word verbreiten lassen. Microsoft hat zweimal nachgebessert, im April mit einer neuen Bearbeitungsoberfläche und am 14. Juli mit dem Modellwechsel auf GPT-5.5. Einen Tag darauf ließ sich der Angriff gegen GPT-5.6 erneut reproduzieren.
Das Wichtigste in Kürze
- Weiß auf weißem Grund gesetzte Anweisungen in einer Word-Datei steuern Copilot beim Entwerfen und Umschreiben.
- Copilot kopiert die versteckte Anweisung in das erzeugte Dokument, das dadurch selbst zum Träger wird.
- Betroffen sind die Funktion „Edit with Copilot“ und der Magic Pen im Work-Modus, geprüft gegen GPT-5.5 und GPT-5.6.
- Das BSI warnt seit 2023 vor dieser Angriffsklasse und kennt bis heute keine verlässliche Gegenmaßnahme.
Wie kommt der Wurm ins Dokument?
Zwei Stufen reichen für den Angriff. Zunächst hängt ein Mitarbeiter ein Dokument aus fremder Quelle an eine Copilot-Sitzung an, etwa ein Angebot oder ein Protokoll. Darin stehen Anweisungen in weißer Schrift auf weißem Grund, die Copilot ausführt, im Beispiel von Måløy durch veränderte Finanzzahlen.
Entscheidend ist die zweite Stufe. Copilot überträgt die versteckte Anweisung in derselben Tarnung in das frisch erzeugte Dokument. Greift eine Kollegin später auf diese scheinbar hauseigene Datei zurück, startet die Manipulation von neuem, und über SharePoint und Teams wandert der Träger bis zu Partnerfirmen.
Warum liest Copilot, was niemand sieht?
Die Formatierung fällt weg, bevor das Sprachmodell den Text bekommt. Schriftfarbe und Schriftgröße gehören zur Darstellung, nicht zum Inhalt, also landet der für Menschen unsichtbare Absatz vollständig lesbar im Kontextfenster. Anweisung und Arbeitsmaterial teilen sich dort denselben Raum, und das Modell trennt beides nicht zuverlässig.
Neu ist daran allein der Schauplatz. Das Bundesamt für Sicherheit in der Informationstechnik hat bereits 2023 vor indirekten Prompt Injections gewarnt und ausgerechnet den Lebenslauf mit weißer Schrift als Beispiel genannt.[2] Stav Cohen, Ron Bitton und Ben Nassi haben 2024 mit „Morris II“ belegt, dass solche Prompts sich selbst replizieren,[3] und die Lücke EchoLeak hat den Ernstfall 2025 im Produktivsystem Microsoft 365 Copilot vorgeführt.[4] Dieselbe Mechanik trifft inzwischen jede Werkzeugkette, von manipulierten Webseiten, die KI-Agenten zur Zahlung bringen, bis zu GitHubs Agent und dessen privaten Repositories.
Ein Word-Dokument aus dem eigenen Haus gilt seit dreißig Jahren als vertrauenswürdig. Genau diese Annahme trägt den Angriff, und als Sicherheitskonzept hält sie nicht mehr.
— Markus Seyfferth, Chefredakteur Dr. Web
144 Tage Abstimmung, zwei Gegenmaßnahmen, ein weiterhin funktionierender Angriff.
Vom Fund bis zur Offenlegung
Was heißt das für Unternehmen im DACH-Raum?
Die Haftung bleibt beim Betreiber. Nach der KI-Verordnung der EU organisiert das Unternehmen, das Copilot im Arbeitsalltag einsetzt, die menschliche Aufsicht selbst, und ab dem 2. August kommen die Transparenzpflichten hinzu. Verändert ein präpariertes Dokument die Zahlen in einem Angebot, steht dafür kein Softwarehersteller gerade.
Måløy hält fest, dass keine kundenseitige Maßnahme das Problem löst, und nennt vier Schritte, die das Risiko senken:
- Dokumente aus fremder Quelle grundsätzlich als nicht vertrauenswürdig behandeln.
- Jede Datei vor dem Anhängen an eine Copilot-Sitzung sichten.
- Von Copilot erzeugte Dokumente vor dem Weiterreichen lesen.
- Herkunft und Modellbearbeitung in den Metadaten festhalten.
Für die eigene Risikobewertung lohnt vorher ein Blick auf die Cybersecurity-Grundlagen und auf das Bedrohungsmodell für kleine und mittlere Unternehmen. Wie schnell die Angriffsfläche wächst, zeigen die fünf neuen Prompt-Injection-Angriffe und der lokale Dateizugriff, den Perplexity seinem Windows-Agenten eingeräumt hat; weitere Einordnung liefert unsere KI-Rubrik.
Quellen
[1] Håkon Måløy: „Context Collapse, Part 3: AI Worming through Word“
[2] BSI: „Indirect Prompt Injections: Intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen“
[3] Stav Cohen, Ron Bitton, Ben Nassi: „Here Comes The AI Worm: Unleashing Zero-click Worms that Target GenAI-Powered Applications“
[4] Aditya K. Sood, Kaustubh Bhavsar u. a.: „EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System“
Mehr Newshunger?
- Perplexity Personal Computer: KI-Agent bekommt Zugriff auf lokale Windows-Ordner
- Acht Tage, 22 Kampagnen: Wie geteilte Claude-Chats Schlüssel von Macs abziehen
- Jeder vierzehnte MCP-Server fällt durch: Wie unsicher die Infrastruktur für KI-Agenten wirklich ist
- GitLost: Wie sich GitHubs KI-Agent zur Preisgabe privater Repositories verleiten lässt
- Fünf neue Prompt-Injection-Angriffe: Wie sich KI-Agenten heimlich umprogrammieren lassen
- IT-Sicherheit für KMU: Was ein Threat Model ausmacht
