Versteckte Word-Prompts manipulieren Copilot-Dokumente : Präparierte Dateien können Daten verändern und Angriffsbefehle weitertragen
Unsichtbare Anweisungen in Word-Dateien können Microsoft 365 Copilot dazu bringen, Inhalte unbemerkt zu verfälschen und die Befehle in neu erzeugte Dokumente zu kopieren. Der Angriff verbreitet sich nicht selbstständig, kann aber über interne Dateien mehrere Bearbeitungsschritte überdauern.
Eine manipulierte Word-Datei kann Microsoft 365 Copilot offenbar nicht nur zu falschen Änderungen verleiten, sondern auch zum Träger weiterer Angriffe machen. Der Sicherheitsforscher Håkon Måløy veröffentlichte die Technik am 28. Juli 2026 – 144 Tage nach seiner Meldung an Microsoft. Eine Ausnutzung in realen Angriffen ist bislang nicht bekannt; den vollständigen Schad-Prompt hält Måløy zurück.
Daten und Befehle vermischen sich
Bei dem Angriff handelt es sich um eine indirekte Prompt-Injection: Copilot liest ein Dokument als Informationsquelle, interpretiert darin versteckte Anweisungen jedoch fälschlich als Teil des Nutzerauftrags. Im Machbarkeitsnachweis halbierte das System angeblich sämtliche Finanzwerte eines Berichts und kopierte gleichzeitig den vollständigen Angriffstext in weißer, acht Punkt kleiner Schrift in eine neue Datei, ohne auf diese Änderungen hinzuweisen. Word entfernt laut Måløy Schriftfarbe und -größe, bevor der Text an das Large Language-Model (LLM) übergeben wird; für Menschen unsichtbare weiße Schrift bleibt dadurch für das Modell lesbar. Ein Teil des Prompts manipuliert den Inhalt, ein weiterer tarnt das Kopieren und Verbergen der Befehle als Anforderungen an Quellenpflege und Lesbarkeit.
Aus einem Ergebnis wird ein neuer Köder
Besonders problematisch ist die Weitergabe der Anweisungen. Wurde nur das intern erzeugte, bereits manipulierte Dokument in einer zweiten Copilot-Sitzung verwendet, änderte Copilot erneut Zahlen und übernahm den Prompt abermals; die ursprüngliche externe Datei war dafür nicht mehr erforderlich. Damit verliert sich die Herkunft der Manipulation: Eine äußerlich gewöhnliche, intern erzeugte Datei wird zum neuen Träger. Von einem selbstständig arbeitenden Computerwurm kann dennoch keine Rede sein: Jeder Schritt setzt voraus, dass ein Nutzer eine Entwurfs- oder Bearbeitungsfunktion startet und Copilot die präparierte Datei in seinen Kontext aufnimmt. Das kann über einen Anhang oder über Microsofts Kontextsystem Work IQ geschehen. Dieses verbindet Copilot mit Dateien, E-Mails, Besprechungen und weiteren Unternehmensdaten. Microsoft zufolge lassen sich Word-Entwürfe auf bis zu 20 Quellen stützen. Im Test fand Work IQ eine manipulierte Marktanalyse in OneDrive sogar außerhalb des Ordners mit den übrigen Quelldateien und stufte sie als relevant ein.
Zwei Maßnahmen umgangen
Microsoft bestätigte das Verhalten laut Offenlegungszeitplan am 31. März. Das Unternehmen blockierte zunächst die ursprüngliche Formulierung des Prompts und stellte anschließend das zugrunde liegende Modell auf GPT-5.5 um. Måløy konnte die Angriffskette jedoch mit verändertem Wortlaut erneut auslösen – später auch unter GPT-5.6. „Die Schwachstellenklasse bleibt zum Zeitpunkt der Veröffentlichung ausnutzbar“, lautet sein Fazit. Eine öffentliche Common Vulnerabilities and Exposures-Kennung (CVE) oder ein eigenständiges Microsoft-Advisory lag bei Veröffentlichung nicht vor. Microsoft verweist allgemein auf Klassifikatoren gegen Jailbreaks und Cross-Prompt-Injection-Attacks (XPIA) sowie auf Schutzmechanismen für eingebundene Inhalte. Microsoft Defender for Office 365prüfe zudem eingehende E-Mails auf Prompt-Injection-Muster – ob diese konkrete Dokumenttechnik erkannt wird, bleibt offen.
Externe Dokumente bleiben untrusted
Eine vollständige kundenseitige Abhilfe gibt es Måløy zufolge nicht. Unternehmen sollten daher:
- externe Dokumente vor der Verwendung mit Copilot prüfen,
- automatisch ausgewählte OneDrive-Quellen kontrollieren,
- Änderungsverfolgung für KI-Bearbeitungen aktivieren,
- generierte Dateien vor Freigabe oder Wiederverwendung prüfen,
- auffällige Formatierungen und unerklärliche Zahlenänderungen untersuchen.
Der Fall zeigt ein Grundproblem generativer Systeme: Das Modell muss potenziell schädlichen Inhalt lesen, um ihn bewerten zu können. Wie Måløy formuliert, „nimmt der untersuchte Inhalt selbst an der Prüfung teil“. Microsoft äußerte sich in einem Beitrag über KI-Gedächtnis vom Juni ähnlich: „Prompting allein ist keine verlässliche Sicherheitsgrenze.“ Der Zugriff auf Speicher sowie dessen Isolation sollten daher durch deterministische Systeme und nicht durch Modellanweisungen gesteuert werden.