Der KI-Wurm in Word: Wie Copilot indirekte Prompt Injections im Unternehmen verbreitet

July 30, 2026

KI-SicherheitWurmprompt injectionCopilot

Quellen：HN + web research · HN

Der KI-Wurm in Word: Wie Copilot indirekte Prompt Injections im Unternehmen verbreitet

Kein Klick auf einen Link, kein Download suspekter Anhänge nötig. Es reicht aus, Microsoft Word zu öffnen und Copilot um Hilfe beim Verfassen eines Dokuments zu bitten—schon manipuliert eine unsichtbare Anweisung sämtliche Finanzzahlen im Bericht und bettet die “Infektionsquelle” lautlos in Ihr neu erstelltes Dokument ein, um den nächsten Kollegen zu infizieren.

Am 28. Juli 2026 veröffentlichte der norwegische Sicherheitsforscher Håkon Måløy eine Entdeckung, die die gesamte KI-Branche aufschreckte: Ein KI-Wurm kann sich in Microsoft Word über Copilot selbst replizieren und verbreiten. Das Microsoft Security Response Center (MSRC) arbeitete 144 Tage lang mit ihm zusammen, unternahm zwei Reparaturversuche und führte ein Upgrade des zugrundeliegenden Modells durch (von GPT-5.5 auf GPT-5.6)—dennoch blieb der Angriff reproduzierbar.

Das ist keine Science-Fiction. Das ist die Realität von heute.

1. Wie funktioniert das?

Lassen Sie uns die technischen Fachbegriffe beiseite lassen und das Szenario an einem konkreten Beispiel veranschaulichen.

Stellen Sie sich vor, Sie sind Finanzanalyst in einem Unternehmen. Sie laden einen Marktbericht aus dem Internet herunter (der auf den ersten Blick völlig seriös wirkt, aber von einem Angreifer manipuliert wurde). Mit bloßem Auge erkennen Sie keinerlei Anomalien—der Angreifer hat die bösartigen Anweisungen in weißer Schrift und winziger Schriftgröße am Ende des Dokuments versteckt.

Sie nutzen diesen Bericht als Referenz und bitten Copilot in Word, Ihren Q1-Finanzbericht zu erstellen. Copilot liest alle von Ihnen bereitgestellten Dokumente—natürlich auch die “Marktanalyse”. Hier entsteht das Problem:

Copilot liest den unsichtbaren Text.

Die versteckte Anweisung weist Copilot an, alle Finanzzahlen im Bericht zu halbieren und exakt diesen Befehl am Ende des neu generierten Dokuments einzufügen (ebenfalls in weißer Schrift). Copilot führt dies ohne zu zögern aus.

Sie erhalten somit einen scheinbar normalen Q1-Bericht, dessen Zahlen jedoch alle halbiert wurden—und am Ende des Dokuments ist dieselbe bösartige Anweisung verborgen. Wenn Sie diesen Bericht mit einem Kollegen teilen und dieser ihn als Grundlage für den Q2-Bericht nutzt, liest, führt aus und verbreitet Copilot die Anweisung erneut.

Das ursprüngliche schädliche Dokument ist längst nicht mehr vorhanden, aber der Angriff setzt sich fort.

Aus diesem Grund bezeichnen Forscher dies als “KI-Wurm”—ähnlich wie ein biologisches Virus nutzt er die regulären Funktionen des Wirts (Copilot + Word), um sich selbst zu vervielfältigen.

Ursprünglicher Angriffsvektor im Dokument—bösartige Anweisungen sind am Dokumentende in weißer Schrift verborgen Abbildung 1: Der Angreifer versteckt bösartige Anweisungen in weißer Schrift am Dokumentende, unsichtbar für das menschliche Auge. Beim Einlesen durch Copilot wird die Formatierung jedoch entfernt, sodass weißer Text genauso wie regulärer Text verarbeitet wird.

Manipulierter Q1-Finanzbericht—alle Zahlen wurden halbiert Abbildung 2: Im von Copilot generierten Q1-Finanzbericht wurden alle Zahlen stillschweigend halbiert. Copilot gibt keinerlei Warnung oder Hinweis aus.

Auch GPT-5.6 konnte den Angriff nicht abwehren Abbildung 3: Selbst mit GPT-5.6 (dem zu diesem Zeitpunkt neuesten verfügbaren Modell) konnte der Angriff erfolgreich reproduziert werden.

2. Ein grundlegender Designfehler: Anweisungen und Daten verschmelzen

Möglicherweise fragen Sie sich: Ist das nicht einfach eine Sicherheitslücke? Kann Microsoft das nicht einfach patchen?

Das Problem ist: Dies ist keine Angelegenheit, die sich mit einem einfachen Patch lösen lässt.

Måløy zieht in seinem Artikel ein sehr klares Fazit:

“Damit KI-Assistenten nützlich sind, müssen sie E-Mails, Dokumente, Webseiten, Speicherinhalte und Werkzeugausgaben verarbeiten—Informationen, die von einem Angreifer kontrolliert werden können. Um diese Informationen zu verarbeiten, müssen sie zusammen mit Systemanweisungen, Benutzeranfragen und anderen vertrauenswürdigen Kontexten in das Kontextfenster des Modells gelangen.”

Auf Deutsch gesagt:

Damit die KI für Sie arbeiten kann, muss sie alles “lesen”, was Sie ihr geben. Die KI kann jedoch nicht unterscheiden, was “Daten” (Fasse diesen Bericht zusammen) und was “Anweisungen” (Halbiere die Zahlen) sind.

In der traditionellen Computersicherheit sind Anweisungen und Daten strikt getrennt. Wenn Sie in Excel “100” eingeben, sind das Daten. Schreiben Sie =A1*2, ist das eine Anweisung. Das System versteht diesen Unterschied fundamental.

Bei großen Sprachmodellen (LLMs) ist das anders. Für das Modell befindet sich jeder eingegebene Text—egal ob Dokument, Benutzerprompt oder im Dokument versteckter bösartiger Text—im selben Verarbeitungsraum. Es besitzt keinen natürlichen Mechanismus, um zu unterscheiden: “Das ist die Arbeitsanweisung meines Benutzers” vs. “Das ist Text aus der Referenzquelle”.

Das ist das Wesen des Problems der Prompt Injection, das in der Sicherheitscommunity seit Langem diskutiert wird.

Abbildung 4: Selbst wenn das Opfer das bösartige Dokument nicht manuell hochlädt, sucht und liest Copilot es automatisch in OneDrive, sobald es das Dokument als “relevant” einstuft.

3. Warum traditionelle Antivirensoftware versagt

Klassische Sicherheitssoftware arbeitet nach dem Prinzip des Pattern Matchings: Bekannte Virus-Signaturen werden gesammelt, und wenn im Dateisystem eine Übereinstimmung gefunden wird, schlägt das System Alarm.

Der Angriffsvektor eines KI-Wurms ist jedoch natürliche Sprache.

Bösartige Anweisungen können in unendlich vielen Varianten verfasst werden—auf Deutsch, Englisch, mit Emojis, Base64-Codierung oder sogar in Bildern versteckt. Ein Angreifer kann dieselbe Anweisung 100 Mal umformulieren, wobei jede Variante eine andere Signatur besitzt, Copilot jedoch jede einzelne versteht.

Wie ein Nutzer auf Hacker News treffend bemerkte:

“Man kann bösartige Anweisungen in jedem Winkel eines Dokuments in natürlicher Sprache verstecken. Es gibt keine formale Signatur, die diese ‘Programme’ im Voraus identifizieren könnte.”

Noch entscheidender ist, dass Copilot selbst ein generischer Verstehens-Engine ist. Um einen “Filter” davorzuschalten, müsste ein weiteres Modell eingesetzt werden—welches jedoch vor exakt demselben Problem stünde. Wie Måløy feststellt:

“Das Erkennen und Entfernen bösartiger Inhalte verlagert das Problem lediglich um eine Ebene nach außen.”

4. Die zwei Faktoren: Architekturfehler vs. Abwehrrealität

Diese Krise basiert auf zwei Hauptfaktoren:

Faktor 1: Architekturfehler der KI-Systeme. Aktuelle LLM-Architekturen sind von Grund auf nicht in der Lage, zwischen “Anweisung” und “Daten” zu unterscheiden. Dies ist ein fundamentales Problem der aktuellen Technologie und kein Versehen eines einzelnen Herstellers. Måløy nennt dies eine “fundamentale architekturelle Schwachstelle”.

Faktor 2: Die Realität der Verteidigung. Microsoft nahm während des 144-tägigen Offenlegungszeitraums zwei Reparaturversuche vor: Zunächst wurde die Interaktionsführung von Copilot angepasst, später das gesamte Modell aktualisiert (von GPT-5.5 auf GPT-5.6). Jede Reparatur blockierte spezifische Formulierungen, doch geringfügige Anpassungen des Angreifers reichten aus, um die Sperre erneut zu umgehen. Microsoft räumte schließlich ein, dass keine kundenseitige Korrektur das Problem vollständig lösen kann.

5. Zwei Perspektiven

Befürworter argumentieren, dies sei der Preis des Fortschritts:

“Dass KI-Assistenten Dokumente lesen und beim Schreiben helfen können, macht sie überhaupt erst nützlich. Man kann diese Fähigkeit nicht aufgeben, nur weil die Möglichkeit des Missbrauchs besteht. Sicherheit ist ein kontinuierlicher Verbesserungsprozess, kein Zustand, der von heute auf morgen erreicht wird.”

Kritiker äußern sich deutlich skeptischer:

Einer der am höchsten bewerteten Kommentare auf Hacker News lautete: “Solange Anweisungen und Daten nicht getrennt verarbeitet werden, lässt sich diese Art von Schwachstelle überhaupt nicht beheben.”

Ein anderer Kommentator verglich das Problem mit einem Klassiker der Computergeschichte—der Von-Neumann-Architektur:

“Wir sind wieder bei der Von-Neumann-Architektur angelangt, und zwar auf die denkbar schlechteste Weise.”

In den Anfangszeiten der Informatik nutzten Programme denselben Speicherbereich für Code und Daten, was zu Pufferüberläufen und ähnlichen Schwachstellen führte. Später wurden auf Hardwareebene Mechanismen wie das NX-Bit (No-Execute-Bit) eingeführt, um Code- und Datenbereiche physisch zu trennen. In heutigen KI-Systemen vermischen sich Anweisungen und Daten jedoch völlig schutzlos im Kontextfenster des Modells.

6. Was bedeutet das für die Zukunft?

Diese Entdeckung ist deshalb so bedeutend, weil sie eine tiefere Wahrheit offenbart:

Sobald KI-Systeme Dokumente lesen, Absichten verstehen und Aktionen ausführen können, wird die Sicherheit der Information selbst—sowohl der Inhalt als auch die darin enthaltenen Anweisungen—zum primären Angriffsziel.

Ein innerhalb eines Unternehmens geteiltes Word-Dokument war früher ein passiver Informationsträger. Heute kann der darin enthaltene Text über Copilot zu “ausführbarem Code” werden—der Finanzzahlen manipuliert, Geschäftslogiken verändert und sich selbst im nächsten Dokument dupliziert, ohne dass der Angreifer anwesend sein muss.

Måløys abschließendes Fazit ist der wichtigste Kernsatz der gesamten Arbeit:

“Jedes System, das LLMs in vertrauenswürdige Arbeitsabläufe integriert, muss heute von folgender Annahme ausgehen: Sobald von Angreifern kontrollierte Inhalte in das Kontextfenster des Modells gelangen, besteht eine gewisse Wahrscheinlichkeit, dass das System kompromittiert wird.”

Das ist eine nüchterne technische Einschätzung, keine Panikmache.

7. Fazit

Die in diesem Artikel dargestellten Erkenntnisse stammen aus dem dritten Teil der Veröffentlichungsreihe Context Collapse des Sicherheitsforschers Håkon Måløy und wurden in 144 Tagen enger Zusammenarbeit mit dem MSRC verifiziert. Bis zum Zeitpunkt der Veröffentlichung hat Microsoft keine vollständige Lösung bereitstellen können.

KI-Assistenten bieten im Alltag enorme Vorteile. Doch Nützlichkeit und Sicherheit sind zwei verschiedene Paar Schuhe. Das Sicherheitsproblem aktueller KI-Systeme liegt in diesem grundlegenden Designfehler: der Vermischung von Anweisungen und Daten.

Genauso wie die Softwareindustrie über ein Jahrzehnt brauchte, um zu lernen, dass “Eingaben stets validiert werden müssen”, benötigt die KI-Branche nun einen ähnlichen Paradigmenwechsel. Bis dahin gilt: Bleiben Sie wachsam.

Anmerkung des Autors: Dieser Artikel dient Aufklärungszwecken und stellt keine absolute Sicherheitsbewertung spezifischer Produkte oder Unternehmen dar. Sicherheit ist ein kontinuierlicher Systemprozess; es gibt keine einfachen Allheilmittel.