Microsoft patcht Prompt Injection in Copilot Studio
KI-generiert mit Sora
Capsule Security hat zwei Prompt-Injection-Lücken in den KI-Agenten-Plattformen von Microsoft und Salesforce veröffentlicht. Microsoft hat das Copilot Studio als CVE-2026-21520 mit dem CVSS-Score 7,5 gepatcht. Salesforce hat für die Lücke in der Agentforce weder eine CVE vergeben noch ein Advisory veröffentlicht. Der Hersteller verweist auf optionale manuelle Freigaben.
Die Disclosure erfolgte am 15. April, berichtet DarkReading. Beide Angriffe funktionieren nach demselben Muster. Ein Angreifer schmuggelt Anweisungen in ein öffentlich zugängliches Formular. Sobald ein Agent das Formular verarbeitet, interpretiert er die eingebetteten Anweisungen als legitimen Auftrag. Der Agent extrahiert CRM-Datensätze an eine fremde Mailadresse.
ShareLeak bei Microsoft: SharePoint-Formular im Fokus
Die von Capsule „ShareLeak“ getaufte Lücke betrifft Copilot Studio, die Low-Code-Plattform für KI-Agenten. Der Angriff nutzt aus, dass Copilot Studio die Eingaben aus SharePoint-Formularen direkt mit den Systemanweisungen des Agenten verkettet. Laut Capsule-Analyse fehlt eine Input-Sanitisierung zwischen Formular und Modell. Eine präparierte Nachricht im Kommentarfeld überschreibt so die ursprüngliche Anweisung des Agenten. In der Demonstration von Capsule greift der übernommene Agent auf angebundene SharePoint-Listen zu. Über Outlook landen die Kundendaten bei einer vom Angreifer kontrollierten Adresse.
Prompt Injection bezeichnet eine Angriffstechnik, bei der Eingaben aus unsicheren Quellen als Systembefehle interpretiert werden. Microsoft hat den Patch laut VentureBeat bereits am 15. Januar ausgerollt. Die Vergabe einer CVE für eine Prompt-Injection-Lücke auf einer Agenten-Plattform nennt Capsule ungewöhnlich.
AnzeigePipeLeak bei Salesforce: Keine CVE, kein öffentliches Advisory
Die zweite Lücke, „PipeLeak“, steckt in Salesforce Agentforce. Angreifer platzieren präparierte Anweisungen im öffentlichen Lead-Formular. Sobald ein interner Nutzer den Lead später vom Agenten bearbeiten lässt, ruft dieser die Funktion GetLeadsInformation auf. Die Leads landen per E-Mail bei einem externen Empfänger.
Salesforce hat die Meldung anerkannt, den Exfiltrationsweg aber als „konfigurationsspezifisch“ eingeordnet und auf Human-in-the-Loop-Kontrollen verwiesen. Eine CVE-Nummer gibt es laut Capsule nicht, ebenso wenig ein öffentliches Advisory. Der Agentforce-Vektor umgeht zusätzlich den Salesforce-Patch vom 8. September 2025 gegen die ForcedLeak-Lücke, die Noma Security im selben Monat veröffentlicht hatte.
Salesforce reagiert auf die Vorwürfe
Im Nachgang zur Disclosure hat sich ein Salesforce-Sprecher gegenüber VentureBeat geäußert. Salesforce hat das beschriebene Szenario nach eigener Angabe behoben. Human-in-the-Loop-Bestätigung ist nach Salesforce-Angabe für E-Mail-basierte Agenten-Aktionen standardmäßig aktiv.
Capsule Security hat nach der Antwort erneut getestet. Auf Custom Topics, in Agentforce mittlerweile Sub-Agents genannt, blieb das Verhalten unverändert. Diese Sub-Agents stellen nach Angaben von Capsule die Mehrheit produktiver Deployments.
Naor Paz, CEO von Capsule Security, widerspricht dem Verweis auf manuelle Freigaben. Wenn ein Mensch jede einzelne Operation genehmigen muss, so Paz gegenüber VentureBeat, ist das kein Agent mehr. Der Mensch klickt sich dann nur noch durch die Aktionen des Agenten.
Der gemeinsame Befund beider Veröffentlichungen fällt nüchtern aus. Solange LLM-basierte Agenten Eingaben aus Formularen nicht zuverlässig von Systemanweisungen trennen, bleibt jedes öffentlich zugängliche Eingabefeld ein potenzieller Angriffsvektor. Capsule empfiehlt strikte Input-Validierung, Least-Privilege-Zugriff und harte Kontrollen auf ausgehenden Mailversand. Wie wenig klassisches Sandboxing gegen diese Angriffsklasse ausrichten kann, haben wir im Beitrag zum Lethal Trifecta beschrieben. Wie real das Risiko im produktiven Einsatz wird, zeigt der Fall um den OpenClaw-Agent und vertrauliche Daten.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
