Du kennst das: Da liegt eine Word-Datei in deinem Postfach, von einem Kollegen, sieht harmlos aus. Du öffnest sie, überfliegst ein paar Sätze und denkst: Das kann ich für den Quartalsbericht gebrauchen. Also gibst du sie Copilot, deinem KI-Assistenten, und bittest ihn, die wichtigsten Zahlen zusammenzufassen. Kurz darauf bekommst du eine saubere Übersicht. Alles sieht normal aus. Aber in Wirklichkeit ist etwas mitgelaufen, das du nicht bemerkt hast.
Ein norwegischer Sicherheitsforscher hat genau diese Szene zum Gegenstand eines Sicherheitsberichts gemacht. Håkon Måløy, ein prominenter KI-Forscher, zeigte am Dienstag, wie sich ein sogenannter KI-Wurm über Microsoft Word-Dokumente verbreiten kann – und Microsoft als Transportvehikel nutzt. Klingt nach Science-Fiction, ist aber real. Microsoft hat den Bericht inzwischen bestätigt und an einer Lösung gearbeitet. Die eigentliche Schwachstelle ist jedoch noch nicht geschlossen.
Ein Wurm, der nicht nach Codes sucht, sondern nach Anweisungen
Normalerweise denkst du bei einem Wurm an bösartigen Code, der sich über Netzwerke frisst. Dieser hier ist anders. Er besteht nicht aus ausführbaren Programmbefehlen, sondern aus getarnten Anweisungen für eine KI. Der Angreifer versteckt sie in einem Word-Dokument. Wird dieses Dokument später als Material für Copilot verwendet – etwa als Grundlage für einen Finanzbericht –, passiert etwas Unheimliches: Die KI interpretiert die versteckten Anweisungen, verändert vielleicht Zahlen im neuen Dokument und kopiert die Anweisungen selbst in das neue Dokument. Damit wird das frisch erstellte Dokument zum nächsten Träger des Angriffs. Jedes Mal, wenn ein Mitarbeiter dieses Dokument wiederum Copilot füttert, kann der Kreislauf von vorne beginnen.
Måløy beschreibt das in seinem Bericht als „eine der ersten öffentlichen Demonstrationen einer dokumentenbasierten KI-Wurm-Selbstverbreitung durch normale Arbeitsabläufe in einer kommerziellen Produktivitätsumgebung“. Für dich als Nutzer bedeutet das: Ein scheinbar normales Word-Dokument reicht aus, um eine Kettenreaktion in Gang zu setzen. Du musst nicht einmal eine Datei aus dem Internet herunterladen. Es genügt, wenn ein Kollege dir ein internes Dokument weitergibt, das bereits infiziert ist.
Die unsichtbare Tinte im Word-Dokument
Stell dir vor, du erhältst ein Blatt Papier mit ein paar Zeilen Text. Mit bloßem Auge siehst du nichts Ungewöhnliches. Doch hältst du es unter UV-Licht, erscheinen zusätzliche Botschaften zwischen den Zeilen. Genau so funktioniert dieser Angriff. Im Beispiel von Måløy befand sich in dem infizierten Dokument eine zusätzliche, scheinbar leere Seite. Die versteckten Befehle waren in weißer Schrift auf weißem Grund gehalten. Für dich unsichtbar, für Copilot aber vollkommen lesbar.
Die KI ist darauf trainiert, Muster in Texten zu erkennen und auf Wunsch zu ergänzen. Sie unterscheidet nicht zwischen Daten, die du ihr gibst, und Anweisungen, die sie ausführen soll. Das ist der entscheidende Schwachpunkt. Ein Angreifer kann diese Verwechslung ausnutzen, indem er Anweisungen in alltägliche Dokumente einbettet. Copilot führt sie aus, ohne dass es jemand bemerkt.
Diese „Prompt-Injection“ genannte Technik ist der Kern des Problems. Es geht nicht darum, dass ein Programm eine Datenbank löscht oder Trojaner-Code ausführt. Es geht darum, dass eine KI dazu bewegt wird, Dinge zu tun, die der Nutzer nicht beauftragt hat. Das passiert auf einer Ebene, die für den Menschen unsichtbar bleibt.
Warum klassische Schutzmechanismen versagen
Das Besorgniserregende an diesem Angriff ist, dass er die üblichen Verteidigungslinien von Unternehmen umgeht. Aman Mahapatra, Chief Strategy Officer bei Tribeca Softtech, hat die Schwachstelle analysiert und sagt deutlich: Der Wurm umgeht jede traditionelle E-Mail-Sicherheitskontrolle, weil das Dokument beim Zustellen noch nicht bösartig ist. Es wird erst bösartig, wenn Copilot es verarbeitet. Damit nutzt er den authentifizierten Copilot-Zugang des Benutzers aus, was auch Data-Loss-Prevention-Systeme wirkungslos macht. Endpoint-Schutz greift nicht, weil kein Code ausgeführt wird – es werden nur Anweisungen von einem KI-Dienst befolgt, den das Unternehmen selbst autorisiert hat.
Mike Wilkes, Enterprise CISO bei Aikido Security, beschreibt das als „gefährliche Unternehmens-Lieferkette“. Finanzberichte, Verträge, Richtlinien und Partnerdokumente können bösartiges Verhalten erben, ohne dass die Vertrauenswürdigkeit ihrer legitimen Autoren infrage gestellt wird. Ein Unternehmen könnte wochenlang mit manipulierten Zahlen arbeiten, bevor jemand den Schaden bemerkt. Der Ursprung des Problems ist dann kaum noch zu rekonstruieren.
Das eigentliche Problem: Daten versus Anweisungen
Die Schwachstelle ist kein Einzelfall, sondern ein grundlegendes Problem der generativen KI. KI-Modelle haben Schwierigkeiten, zwischen Benutzereingaben und Anweisungen zu unterscheiden. Flavio Villanustre, CISO bei LexisNexis Risk Solutions, erkennt darin eine Wiederholung eines alten Problems. Vor Jahrzehnten gab es in Datenbanken ähnliche Angriffe, bei denen bösartige SQL-Befehle über Eingabefelder eingeschleust wurden. Die Lösung war die sogenannte parametrisierte Bindung: Die Datenbank erhält eine klare Trennung zwischen dem Befehl und den Benutzerdaten. Genau das braucht die KI-Branche heute auch, nur eben eine Ebene höher.
Die Trennung von Daten und Anweisungen klingt simpel, ist in der Praxis aber knifflig. Håkon Måløy weist darauf hin, dass in realen Arbeitsabläufen diese Unterscheidung nicht immer klar ist. Ein Beispiel: Du bittest einen KI-Agenten, eine Geschäftsreise zu organisieren. Dafür muss er eine E-Mail mit dem genehmigten Reiseplan sowie ein Dokument mit der Buchungsanleitung lesen. Beides sind Daten, aber das zweite enthält Anweisungen. Welche davon sind für den Agenten bindend? Die Antwort hängt vom Kontext ab – und genau daran scheitern aktuelle Systeme.
Mike Leone, VP und Principal Analyst bei Moor Insights & Strategy, hat dafür nur ein trockenes Lachen übrig. „Wir haben diese Frage seit SQL-Injection-Zeiten auf dem Tisch. Damals haben wir Datenbanken beigebracht, einen Befehl von einem Wert zu unterscheiden. Dreißig Jahre später bauen wir Software-Kategorien, die überhaupt nicht unterscheiden können.“ Es ist eine ironische Erkenntnis aus einem Sicherheitsbericht: Die KI, die alles versteht, versteht den Unterschied zwischen Befehl und Inhalt nicht.
Microsofts Reaktion und die Grenzen der Entschärfung
Microsoft hat auf den Bericht von Måløy reagiert. Das Unternehmen erklärt, man habe die gemeldeten Erkenntnisse adressiert und arbeite mit dem Forscher über das koordinierte Offenlegungsprogramm zusammen. Man setze auf eine Verteidigungsstrategie in der Tiefe, die bösartige Anweisungen an mehreren Stellen blockiere. Gleichzeitig räumt Microsoft ein, dass die Technologie- und Bedrohungslandschaft sich ständig verändert und man die Absicherung kontinuierlich verbessere.
Doch die Kernschwachstelle ist bisher nicht behoben. Måløy arbeitet seit dem 6. März mit dem Microsoft Security Response Center zusammen. Microsoft hat mehrere kleine gezielte Schutzmaßnahmen implementiert, aber das Grundproblem bleibt. Der Forscher zögert, eine aktive Schwachstelle öffentlich zu machen, entschied sich aber dennoch zur Veröffentlichung. Sein Argument: „Verteidiger können das Risiko nicht reduzieren, wenn sie nicht wissen, dass es existiert.“ Sein Urteil über die bisherigen Maßnahmen fällt gemischt aus: Die Mitigationsstrategien reduzieren die Angriffsfläche und machen Angriffe weniger zuverlässig, beseitigen aber das Problem nicht vollständig.
Was jetzt konkret hilft – und was nicht
Die gute Nachricht: Auch ohne eine umfassende technische Lösung können Unternehmen und Nutzer das Risiko verringern. IDC-Analyst Frank Dickson empfiehlt, die Auto-Discovery-Funktion von Copilot einzuschränken. Damit sucht die KI nicht mehr selbstständig nach Dokumenten im gesamten System, sondern nur nach denen, die der Nutzer explizit auswählt. Das blockiert einen der Wege, über die der Angriff Fuß fassen kann.
Zusätzlich schlägt Dickson vor, bei finanziellen oder anderen folgenreichen Dokumenten eine sichtbare Änderungsverfolgung für KI-generierte Inhalte einzuführen. Du siehst also in einer Art Diff-Ansicht, was Copilot verändert hat, und musst die Änderungen manuell freigeben. Das ist keine technische Wunderwaffe, sondern eine Workflow-Lösung. Sie ist heute sofort umsetzbar. IT-Abteilungen sollten außerdem Metadaten erfassen, die nachverfolgen, welche Inhalte von einer KI verarbeitet wurden. Wenn dann doch etwas durchrutscht, lässt sich der Verbreitungsweg besser rekonstruieren.
Auch einzelne Hersteller können ihrer Verantwortung gerecht werden. Mike Leone argumentiert, dass Microsoft nicht auf die gesamte Branche warten muss. Der Angriff spielt sich innerhalb eines Produkts ab: dem Copilot-Dokumentenpfad. Wenn Microsoft diesen Pfad härtet, werden Copilot-Nutzer sicherer – unabhängig davon, was andere Anbieter tun. Microsoft hat öffentlich zugegeben, dass indirekte Prompt-Injection nicht vollständig verhindert werden kann. Das klingt ehrlich, aber trotzdem nicht nach der idealen Antwort auf eine konkrete Bedrohung.
Der Wurm in der Theorie und die Praxis
Bei allem Alarm gibt es auch eine nüchterne Stimme. Tyler Reguly von Fortra sieht in dem Ganzen eher eine „Labor-Schwachstelle“ ohne großes praktisches Risiko. Normale Unternehmensabläufe enthalten viele Schritte, die ein Angreifer nicht kontrollieren kann. Außerdem, so Reguly, sind Mitarbeiter heutzutage geschult, keine Word-Dokumente aus unbekannten Quellen zu öffnen. Und die versteckte weiße Seite im Dokument, die Måløy im Beispiel gezeigt hat, würde aufmerksamen Nutzern auffallen. „Das hier braucht einen perfekten Sturm“, resümiert er.
Das mag beruhigend klingen, aber der Angriff ist dennoch ein Warnsignal. KI-Assistenten werden immer stärker in Arbeitsabläufe integriert. Je mehr Aufgaben wir an sie delegieren, desto mehr Vertrauen schenken wir ihren Ergebnissen. Genau dieses Vertrauen nutzen Angreifer aus. Sie brauchen keine schweren Exploits mehr, um Schaden anzurichten, sondern nur noch ein harmloses Dokument und einen Benutzer, der dem KI-Tool vertraut.
Ein alter Fehler in neuem Gewand
Am Ende ist diese Geschichte eine Erinnerung daran, dass Sicherheit immer ein Schritt hinter der Technologie zurückliegt. Wir haben Datenbanken mit Parametern gehärtet, aber wir bauen jetzt Systeme, die auf natürlicher Sprache basieren und genau dieselbe Verwechslung auf einer neuen Ebene wiederholen. Die Diskussion über Daten versus Anweisungen wird die KI-Branche noch Jahre begleiten. Ein grundlegender Fix, da sind sich fast alle Experten einig, braucht Zeit – und eine gemeinsame Architektur-Veränderung quer durch die Branche, an der ökonomische Anreize fehlen.
Für dich als Nutzer heißt das: Sei aufmerksam, wenn du KI-generierte Inhalte verwendest. Prüfe, welche Dokumente du Copilot gibst. Hinterfrage ändert die KI unerwartete Werte oder Formulierungen. Und halte Ausschau nach unsichtbaren Zeichen, weißen Seiten oder seltsamen Formatierungen. Es klingt nach Paranoia, aber im Ernstfall ist es es wert. Der Wurm ist nicht das Ende der Welt. Aber er zeigt, dass auch die intelligenteste Software einen blinden Fleck haben kann – und genau dorthin zielen Angreifer.
Quelle: computerworld.com
