AI-Wurm in Copilot: eine neue Cyberbedrohung

Reading Time: 4 minutes

Ende Juli 2026 veröffentlichte der Sicherheitsexperte Håkon Måløy die Ergebnisse einer Forschung, die die Existenz eines AI-Wurms belegt, der sich über Microsoft Word-Dokumente verbreiten kann, die zusammen mit Copilot verwendet werden. Die Entdeckung zog schnell die Aufmerksamkeit der Cybersecurity-Community auf sich, da sie keinen Makro, kein ausführbares Programm oder eine klassische Schwachstelle ausnutzt, sondern die Art und Weise, wie KI-Modelle den erhaltenen Kontext verarbeiten.

Was ist ein AI-Wurm?

Ein AI-Wurm ist eine bösartige Anweisung, die in einem Dokument verborgen ist und so formuliert ist, dass sie von einem KI-Assistenten als legitimer Befehl interpretiert wird.

Im Gegensatz zu traditionellen Computerwürmern:

• führt er keinen Code auf dem Computer aus;
• benötigt keine Makros;
• installiert keine Malware;
• nutzt ausschließlich die Art und Weise aus, wie ein KI-Modell (LLM) den Kontext eines Dokuments interpretiert.

Mit anderen Worten, die „Infektion“ erfolgt nicht auf Betriebssystemebene, sondern auf der Ebene der von der KI verarbeiteten Informationen.

Wie funktioniert der Angriff auf Microsoft Copilot?

Laut der von Håkon Måløy veröffentlichten Demonstration führt der Angreifer versteckte Anweisungen in ein Word-Dokument ein. Diese Anweisungen können maskiert werden, indem sehr kleiner Text, dieselbe Farbe wie der Hintergrund oder andere Methoden verwendet werden, die sie für den Benutzer unsichtbar machen.

Wenn das Dokument als Quelle für Microsoft Copilot verwendet wird:

1. liest Copilot den gesamten Inhalt des Dokuments.
2. werden die versteckten Anweisungen als Teil des Kontexts interpretiert.
3. kann das KI-Modell das erzeugte Ergebnis gemäß den Befehlen des Angreifers ändern.
4. Schlimmer noch, es kann dieselben Anweisungen in das neu erstellte Dokument kopieren.
5. Das neue Dokument wird seinerseits Träger des Angriffs und kann andere auf Copilot basierende Workflows infizieren.

Praktisch entsteht ein Selbstverbreitungsmechanismus, ähnlich dem Konzept eines klassischen Wurms, jedoch ohne Codeausführung.

Warum ist diese Schwachstelle anders?

Die meisten Cyberangriffe zielen darauf ab, ein Informationssystem zu kompromittieren.

In diesem Fall ist das Ziel der Entscheidungsprozess der künstlichen Intelligenz.

Der Angriff nutzt ein in der KI-Sicherheit bekanntes Phänomen namens Prompt Injection, bei dem vom Angreifer kontrollierte Anweisungen mit den legitimen Befehlen des Benutzers verwechselt werden.

Anstatt den Computer zu kompromittieren, kompromittiert der Angreifer die von der KI generierten Antworten.

Dieser Unterschied ist entscheidend, da klassische Antivirenlösungen nicht darauf ausgelegt sind, solche Bedrohungen zu erkennen.

Was bedeutet „Kontextkollaps“?

In der Artikelreihe „Kontextkollaps“ erklärt Håkon Måløy, dass LLM-Modelle nicht grundsätzlich zwischen:

• den Anweisungen des Benutzers;
• dem Inhalt des Dokuments;
• dem von einem Angreifer eingegebenen Text.

All dies gelangt in dasselbe Kontextfenster und wird zusammen verarbeitet.

Diese architektonische Einschränkung ermöglicht es, dass ein scheinbar harmloses Dokument das Verhalten der KI beeinflussen kann, ohne dass der Benutzer etwas Ungewöhnliches bemerkt.

Welche Risiken stellt der neue AI-Wurm für Organisationen dar?

In der Unternehmensumgebung wird Copilot häufig für:

• Finanzberichte;
• technische Dokumentation;
• Verträge;
• interne Richtlinien;
• Business-Analysen;
• Zusammenfassungen externer Dokumente.

Wenn eines der Dokumente, das als Quelle verwendet wird, versteckte Anweisungen enthält, können diese alle später erzeugten Dokumente beeinflussen.

Zu den identifizierten Risiken gehören:

• diskrete Änderung von Informationen;
• Veränderung von Finanzberichten;
• Einfügen von falschem Inhalt;
• automatische Verbreitung von Anweisungen auf andere Dokumente;
• Komprimierung der Vertrauenskette zwischen Benutzern und KI-Systemen.

Welche Maßnahmen zur Minderung hat Microsoft ergriffen?

Die Forschung zeigt, dass die Schwachstelle verantwortungsbewusst an Microsoft gemeldet wurde, mehrere Monate vor der Veröffentlichung.

Laut dem Autor hat Microsoft zwei Runden von Milderungsmaßnahmen implementiert, jedoch zeigt die veröffentlichte Demonstration, dass diese durch die Umformulierung bösartiger Anweisungen umgangen werden konnten. Der Forscher argumentiert, dass das Problem architektonischer Natur ist, im Zusammenhang mit der Art und Weise, wie LLM-Modelle den Kontext behandeln, und nicht vollständig durch einfache Filter auf Anwendungsebene beseitigt werden kann.

Wie können Unternehmen sich schützen?

Obwohl es noch keine perfekte Lösung gibt, empfehlen Experten mehrere präventive Maßnahmen:

• Behandlung externer Dokumente als potenziell unsichere Quellen;
• Begrenzung der Verwendung unbekannter Dokumente als Eingabe für Copilot;
• Überprüfung der von der KI generierten Ergebnisse vor der Verbreitung;
• Implementierung von Richtlinien zur KI-Sicherheit und KI-Governance;
• Schulung der Mitarbeiter über die Risiken der Prompt Injection;
• Überwachung der Dokumente, die zwischen Teams und KI-Systemen zirkulieren.

In der Praxis sollten Dokumente, die als Quellen für KI-Assistenten verwendet werden, mit dem gleichen Maß an Vorsicht behandelt werden wie E-Mail-Anhänge oder Dateien, die aus externen Quellen heruntergeladen werden.

Warum ist dieser Fall wichtig für die Zukunft der KI-Sicherheit?

Die Entdeckung zeigt nicht nur eine punktuelle Schwachstelle in Microsoft Copilot für Word.

Sie hebt eine viel umfassendere Herausforderung hervor: KI-Modelle haben nicht von Natur aus die Fähigkeit, zwischen informativem Inhalt und bösartigen Anweisungen zu unterscheiden, wenn diese im selben Kontext enthalten sind.

Während Organisationen KI-Agenten für Schreiben, Analyse und Automatisierung übernehmen, könnten solche Angriffe eine eigene Kategorie von Cyberbedrohungen werden. Folglich kann KI-Sicherheit nicht länger nur als Erweiterung der traditionellen IT-Sicherheit betrachtet werden, sondern erfordert spezifische Richtlinien, Kontrollen und Mechanismen zur Validierung von Quellen und zum Umgang mit dem Kontext, der von generativen Modellen verwendet wird.

Häufig gestellte Fragen (FAQ)

Was ist ein AI-Wurm?

Ein AI-Wurm ist ein Angriff, der auf versteckten Anweisungen in einem Dokument basiert, die ein KI-Modell dazu bringen, bestimmte Aktionen auszuführen und dieselben Anweisungen in späteren Dokumenten zu kopieren.

Ist Microsoft Copilot anfällig für den neuen AI-Wurm?

Laut der von Håkon Måløy veröffentlichten Forschung zeigt die Proof-of-Concept-Demonstration, dass Microsoft Copilot für Word durch versteckte Prompt Injection in Dokumenten beeinflusst werden kann und dass der Mechanismus in bestimmten Workflows selbstverbreitend werden kann.

Geht es um Malware?

Nein. Der Angriff führt keinen Code aus und installiert keine bösartigen Programme. Er nutzt die Art und Weise aus, wie ein KI-Modell den Inhalt von Dokumenten interpretiert.

Wie können Organisationen das Risiko des neuen AI-Wurms reduzieren?

Durch die Validierung externer Dokumente, die Begrenzung der Quellen, die von der KI verwendet werden, die Überprüfung der generierten Ergebnisse und die Implementierung spezifischer Governance- und Sicherheitsrichtlinien für den Einsatz von künstlicher Intelligenz.

Quellen der Informationen: enklypesalt.com, theregister.com