PromptArmor: Microsoft Copilot Cowork verschickt M365-Dateien an Angreifer
KI-generiert mit ChatGPT
Die Sicherheitsfirma PromptArmor zeigt am 26. Mai 2026, wie sich Microsoft Copilot Cowork per manipulierter Skill-Datei zum Datendieb umfunktionieren lässt. Eine versteckte Anweisung in der genannten File reicht aus, um Dateien aus dem Microsoft-365-Tenant des Opfers zu erhalten. Solche eingeschleusten Befehle werden als indirekte Prompt Injection bezeichnet. Der Angriff funktioniert auch gegen Claude Opus 4.7, das derzeit stärkste Modell von Anthropic.
So läuft der Angriff
Das Opfer lädt eine präparierte Skill-Datei in Copilot Cowork. PromptArmor zufolge stecken die entscheidenden Anweisungen in nur fünf Zeilen einer insgesamt 81 Zeilen langen Datei. Bittet das Opfer den Agenten später um eine Wochenzusammenfassung, verschickt Copilot Cowork eine Teams-Nachricht an das Opfer selbst. Darin befinden sich vorautorisierte Download-Links zu SharePoint- und OneDrive-Dateien, versteckt in unsichtbaren HTML-Image-Tags.
Öffnet das Opfer die Nachricht in Teams oder Outlook, lösen die Image-Tags Netzwerk-Anfragen an einen Server der Angreifer aus. Dabei landen auch die Download-Links bei den Angreifern. PromptArmor erzielte im Test eine Trefferquote von fünf von fünf. Mit Opus 4.7 wurden sogar mehr Dokumente abgegriffen als im automatischen Routing-Modus.
AnzeigeDie Lücke im Bestätigungsmodell
Microsoft schreibt für sensible Aktionen wie das Versenden einer E-Mail oder einer Teams-Nachricht eine Bestätigung durch den Nutzer vor. In der Praxis greift diese Bestätigung jedoch nicht, wenn der aktive Nutzer selbst der Empfänger ist. Eine Einstellung zum Abschalten gibt es aktuell nicht. „This attack achieved a high success rate against state-of-the-art models“, gab die Sicherheitsfirma zum Thema Wirksamkeit zu Protokoll.
PromptArmor hatte im Januar 2026 bereits einen vergleichbaren Angriff gegen Anthropic Claude Cowork gezeigt. Das Muster wiederholt sich nun bei Microsoft, das die Cowork-Engine von Anthropic in M365 eingebettet hat.
Was das für OpenClaw-Anwender heißt
Skills, Marktplätze und delegierte Tool-Rechte sind auch das Designmuster des quelloffenen KI-Agenten OpenClaw. Werden Skills automatisch aus geteilten Ordnern geladen, wird die Skill-Quelle zum zentralen Vertrauensanker. Eine Bestätigungspflicht für sensible Aktionen schützt nur, wenn sie wirklich jeden Empfänger abdeckt. Geplante Aufgaben vergrößern das Risiko zusätzlich, weil sie ohne Aufsicht laufen.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
