🔐 AISec Plus — Woche 1: Bedrohung kartieren

Forscher: Daniel Ossai Repo: aisecplus-week01-danielossai Eingereicht: Woche 1 · AISec Plus Bootcamp

---

📌 Vorfallname & Datum

EchoLeak (CVE-2025-32711) Entdeckt: Januar 2025 · Offengelegt: Juni 2025 · Gepatched: Juni 2025

---

📝 Was geschah

Forscher von Aim Security entdeckten eine kritische Zero-Click indirekte Prompt-Injection-Schwachstelle in Microsoft 365 Copilot. Durch das Senden einer einzigen präparierten E-Mail – ohne Benutzerinteraktion – konnte ein Angreifer Copilot dazu veranlassen, stillschweigend auf interne Dateien zuzugreifen und deren Inhalte an einen vom Angreifer kontrollierten Server zu exfiltrieren.

Das Opfer musste nichts anklicken. Es musste keinen Anhang öffnen. Es reichte, dass die E-Mail im Posteingang war, damit Copilot versteckte bösartige Anweisungen verarbeitete und begann, sensible Unternehmensdaten preiszugeben.

Microsoft vergab CVE-2025-32711 mit einem CVSS-Score von 9.3 (Kritisch). Es ist der erste dokumentierte Fall, bei dem Prompt-Injection zur konkreten Datenexfiltration in einem Produktions-KI-System genutzt wurde. Microsoft patchte es serverseitig; keine Ausnutzung in freier Wildbahn wurde bestätigt.

---

⚙️ Wie der Angriff funktionierte

Der Angriff verknüpfte vier verschiedene Umgehungen, um eine stille Datenexfiltration zu erreichen:

Schritt 1 — Umgehung des XPIA-Klassifikators Microsoft 365 Copilot verwendet Cross-Prompt Injection Attack (XPIA)-Klassifikatoren, um bösartige Anweisungen zu erkennen und zu blockieren. Der Angreifer umging dies, indem er die Aufforderung in natürlicher Sprache verfasste, die an den menschlichen Empfänger gerichtet schien – ohne jemals KI, Copilot oder technische Triggerwörter zu erwähnen. Der Klassifikator markierte sie nie.

Schritt 2 — Umgehung der Link-Schwärzung Copilot schwärzt normalerweise externe Links, um zu verhindern, dass Daten die M365-Umgebung verlassen. Der Angreifer umging dies durch die Verwendung von Referenz-Markdown-Formatierung, die Copilot ohne Auslösen des Schwärzungsfilters darstellte.

Schritt 3 — Ausnutzung automatisch abgerufener Bilder Copilots Verhalten, eingebettete Bilder automatisch abzurufen, wurde missbraucht, um ausgehende HTTP-Anfragen an einen vom Angreifer kontrollierten Server zu initiieren – wobei exfiltrierte Daten in den Anfrageparametern übertragen wurden.

Schritt 4 — Umgehung der Content Security Policy (CSP) über Teams-Proxy Microsoft Teams fungiert als vertrauenswürdiger Proxy innerhalb der Content Security Policy von M365. Der Angreifer leitete die Exfiltrationsanfrage über diesen erlaubten Proxy um und umging so die CSP vollständig.

Das Ergebnis: Vollständige Privilegieneskalation über LLM-Vertrauensgrenzen hinweg, ohne Benutzerinteraktion. Die Nutzlast war reiner Text – kein Code, keine Malware-Signaturen. Copilot verhielt sich genau wie vorgesehen: Es verarbeitete Eingaben und antwortete hilfreich. Traditionelle Abwehrmechanismen wie Antivirus, Firewalls und statische Dateiscans waren völlig wirkungslos.

---

🗺️ Bedrohungszuordnung

Wichtige Erkenntnis: Dies ist ein Paradebeispiel für indirekte Prompt Injection – die bösartige Anweisung stammte aus einer externen Quelle (E-Mail), nicht vom Benutzer. Das LLM konnte nicht zwischen vertrautem Entwicklerkontext und nicht vertrauenswürdigem externem Inhalt unterscheiden.

---

💥 Die Auswirkungen

EchoLeak stellt ein strukturelles Risiko dar, nicht nur einen einmaligen Fehler:

• Unmittelbares Risiko: Jede Organisation mit aktiviertem M365 Copilot war potenziell anfällig für stille Datenexfiltration durch eine einzige präparierte E-Mail
• Umfang: Funktioniert in Word, PowerPoint, Outlook und Teams – jeder Bereich, in dem Copilot Inhalte verarbeitet
• Neuheit: Erster bestätigter Zero-Click-Exploit gegen einen KI-Agenten in der Produktion; zum ersten Mal erreichte Prompt Injection eine echte Datenexfiltration in einem live Unternehmenssystem
• Breitere Implikation: Die strukturelle Angriffsfläche gilt für jeden LLM-basierten Assistenten mit Zugriff auf mehrere interne Datenquellen – nicht nur für Microsofts Implementierung
• Bestätigte Ausnutzung: Keine in freier Wildbahn; Microsoft patchte serverseitig, bevor ein bekannter Missbrauch auftrat

---

🛡️ Prävention & Abwehr

Was Microsoft tat:

• Serverseitiger Patch bereitgestellt (keine Kundenaktion erforderlich)
• DLP-Tags eingeführt, um Copilot daran zu hindern, externe E-Mails zu verarbeiten
• Neues M365 Roadmap-Feature, das Copilots Zugriff auf E-Mails einschränkt

Was die breitere Lehre ist:

• Eingeschränkter Datenzugriff ist die eigentliche Lösung – begrenzen, was Copilot erreichen kann, bevor eine Schwachstelle es ausnutzen kann
• Behandle externe Inhalte als nicht vertrauenswürdig – E-Mails, Dokumente und Webinhalte sollten niemals in derselben Vertrauensgrenze wie Systemanweisungen sein
• Trenne Anweisungs- und Datenkanäle – das LLM sollte niemals in der Lage sein, eine Benutzer-E-Mail mit einem Operator-Befehl zu verwechseln
• Ausgabe-Sandboxing – filter und validiere, was das Modell ausgehend senden darf, bevor es das System verlässt
• Das Patchen einzelner CVEs reicht nicht; das Architekturmuster (LLM + RAG + breiter Datenzugriff) muss von Grund auf gehärtet werden

---

🔗 Quellen

1. The Hacker News — Zero-Click-KI-Schwachstelle legt Microsoft 365 Copilot-Daten ohne Benutzerinteraktion offen https://thehackernews.com/2025/06/zero-click-ai-vulnerability-exposes.html

2. Hack The Box — Inside CVE-2025-32711 (EchoLeak): Prompt Injection trifft auf KI-Exfiltration https://www.hackthebox.com/blog/cve-2025-32711-echoleak-copilot-vulnerability

3. Checkmarx — EchoLeak (CVE-2025-32711): Angriffskettenanalyse https://checkmarx.com/zero-post/echoleak-cve-2025-32711-show-us-that-ai-security-is-challenging/

4. Sentra — EchoLeak: Was die Microsoft Copilot Prompt-Injection-Schwachstelle für Ihre Daten bedeutet https://sentra.io/blog/copilot-echoleak-prompt-injection

5. arXiv — EchoLeak: Der erste reale Zero-Click-Prompt-Injection-Exploit in einem Produktions-LLM-System https://arxiv.org/abs/2509.10540

---

AISec Plus · Woche 1 · Wir wachsen alle. Zeig dich. Baue auf. Verbessere dich.