CoSnitch (CVE-2026-24301): Wie Microsoft Copilot seine eigene Sicherheitslücke verriet

Die Fakten in 30 Sekunden

• Name: CoSnitch, benannt von Varonis Threat Labs.
• CVE: CVE-2026-24301, geführt in Microsofts Security Update Guide, der NVD und bei CVE.org.
• Betroffenes Produkt: Microsoft Copilot (Copilot Web, umgangssprachlich Copilot Personal), der kostenlose Verbraucher-Assistent. Nicht Microsoft 365 Copilot.
• Schwachstellentyp: CWE-77, Command Injection, Einstufung Information Disclosure.
• Schweregrad: Microsoft kritisch, CVSS 3.1 Base Score 8.8, Temporal Score 7.7. NVD Base Score 7.5.
• Entdeckt von: Varonis Threat Labs. Microsoft nennt als Finder Lior Adar (Varonis), Spandan Pokhrel sowie Anshuman Goel (Microsoft).
• Gemeldet: Dezember 2025. Behoben: 18. August 2026, serverseitig.
• Ausnutzung in freier Wildbahn: keine bekannt. Nutzeraktion nötig: keine.

Was ist CoSnitch?

CoSnitch beschreibt eine Kette aus drei Schwachstellen in Microsoft Copilot Personal, die zusammen aus einem einzigen Klick ein unbemerktes Werkzeug zum Datendiebstahl machten. Der Name ist ein Wortspiel: Der Assistent (Copilot) wurde zum Informanten (snitch) gegen sich selbst. Varonis Threat Labs, das die Lücke fand, nennt das zentrale Vorgehen dahinter Meta-Hacking. Statt die Software klassisch zu zerlegen, befragten die Forscher den Assistenten so lange zu seinen eigenen Schutzmechanismen, bis er die entscheidenden Details selbst preisgab.

Das Besondere an CoSnitch ist nicht ein einzelner Programmierfehler, sondern das Zusammenspiel: Ein präparierter Link startet einen Befehl, der Befehl liest Daten aus verbundenen Konten, und eine zweite, davon getrennte Lücke verankert Anweisungen dauerhaft im Gedächtnis des Assistenten. Jede dieser Schwachstellen wäre für sich ernst. In Kombination verwandeln sie eine vertrauenswürdige KI-Arbeitsumgebung in einen Kanal, über den grosse Mengen sensibler Daten abfliessen können, ohne die Alarmmechanismen auszulösen, auf die sich Sicherheitsteams sonst verlassen.

Copilot Personal, nicht Microsoft 365 Copilot

Dieser Punkt wird in vielen Meldungen falsch wiedergegeben, und er entscheidet darüber, ob Sie betroffen waren. CoSnitch betraf Microsoft Copilot Personal, den kostenlosen Assistenten für Privatkonten unter copilot.microsoft.com. Ein Microsoft-Sprecher stellte gegenüber Dark Reading ausdrücklich klar, dass Geschäftskunden nicht betroffen waren und die Lücke ausschliesslich Copilot Personal betraf. Microsoft 365 Copilot, die in Unternehmens-Tenants eingebettete Variante, gehörte nicht zum Angriffsziel.

Mehrere deutsche Medien, darunter heise und mind-verse, ordneten die Lücke fälschlich Microsoft 365 Copilot zu. Diese Unterscheidung ist keine Haarspalterei. Für die Risikobewertung in einem Unternehmen ist sie zentral, und sie führt direkt zum eigentlich kritischen Punkt für die Unternehmenssicherheit.

Lior Adar von Varonis formulierte es gegenüber Dark Reading so: Die konkreten Schwachstellen lagen in der Personal-Version, aber die Person, die Copilot Personal nutzt, ist dieselbe, die montags ins Büro kommt. Firmen-E-Mails, die an ein privates Gmail weitergeleitet werden, über private Konten geteilte Zugangsdaten, Arbeitsdokumente in einem privaten Drive: Wenn CoSnitch aus einem privaten Postfach ausliest, sind die erbeuteten Daten oft trotzdem Unternehmensdaten. Ein gestohlenes Passwort aus einem Privatkonto wird zum Einstieg in den Firmen-Tenant. Der Angriff zielte auf das Verbraucherprodukt, die Folgen reichen bis in das Unternehmen. Genau das ist der Grund, warum auch ein auf Consumer-Software begrenzter Befund in jede ernsthafte Betrachtung der KI-Sicherheit im Unternehmen gehört.

Die drei Schwachstellen hinter CoSnitch

Varonis gliedert CoSnitch in drei Bausteine. Die ersten beiden bilden den Ein-Klick-Pfad zum Datenabfluss, der dritte ist ein davon getrennter Weg zur dauerhaften Manipulation.

1. Automatische Ausführung von Eingaben

Copilot nahm eine Eingabe über einen URL-Parameter entgegen, eine dokumentierte Funktion, mit der eine externe Seite oder ein Lesezeichen eine Eingabe vorbefüllen konnte, die der Nutzer anschliessend selbst abschickt. Für sich genommen füllte dieser Abfrage-Parameter nur das Eingabefeld. Daneben existierte ein zweiter, undokumentierter Parameter, der den Assistenten dazu brachte, die vorbefüllte Eingabe automatisch beim Laden der Seite auszuführen, ohne Klick, ohne Bestätigung, ohne Warnung. Erst beide Parameter zusammen lösten die stille Ausführung aus.

Klickte das Opfer auf einen so präparierten Link, lud der Browser Copilot in der aktiven, angemeldeten Sitzung, und die eingeschleuste Eingabe lief mit allen Rechten, die eine regulär getippte Eingabe gehabt hätte. Nach Angaben von Varonis lief der Befehl sogar vollständig zu Ende, wenn das Opfer den Copilot-Tab unmittelbar nach dem Laden wieder schloss.

2. Datenabfluss über verbundene Dienste

Sobald die Ausführung ausgelöst war, konnte die eingeschleuste Eingabe auf alle Dienste zugreifen, die der Nutzer zuvor mit Copilot verknüpft hatte, etwa Gmail, Google Drive, Kalender oder OneDrive. Der Angreifer musste keine neuen Berechtigungen erschleichen. Er nutzte den bereits erteilten, legitimen Zugriff des Nutzers. Genau das ist der Kern: Nicht Gmail oder OAuth waren fehlerhaft, sondern die Annahme, dass ein Aufruf eines verbundenen Dienstes immer vom Nutzer selbst ausgeht.

Für die Ausleitung missbrauchte der Angriff eine völlig normale Fähigkeit des Assistenten, nämlich das Abrufen und Zusammenfassen externer Webinhalte. Die gesammelten Daten wurden in eine Zeichenkette kodiert und über diese eingebaute Abruffunktion an einen vom Angreifer kontrollierten Server übermittelt. Varonis beobachtete dabei eine Base64-Kodierung, die beliebige Inhalte in unauffällige Zeichenketten umwandelt und so Filter umgeht, die ausgehende Anfragen nach Mustern wie Passwörtern durchsuchen. Auf der Netzwerkebene war diese Anfrage nicht von einem gewöhnlichen Abruf zu unterscheiden, den Copilot bei jeder Zusammenfassung einer Webseite ausführt. Für die Sicherheitssoftware sah es aus wie Routine.

In Tests erhielten die Forscher auf diesem Weg vollständige Nachrichtentexte, Betreffzeilen sowie Absender- und Empfängerangaben aus verbundenen E-Mail-Konten, Kalendertitel mit Teilnehmern, Zeiten und Orten, Dateinamen und Metadaten aus Google Drive, den vollständigen Inhalt früherer Unterhaltungen sowie die im Gedächtnis gespeicherten Anweisungen und Regeln. Dieser Mechanismus ist das Musterbeispiel dafür, warum Unternehmen den Datenabfluss über Sprachmodelle als eigenständige Risikoklasse behandeln sollten.

3. Dauerhafte Manipulation des Gedächtnisses

Die dritte Schwachstelle ist ein separater Weg und technisch die beunruhigendste. Copilot kann Webseiten zusammenfassen. Dabei ruft der Assistent die Seite ab und verarbeitet den gesamten Inhalt. Er unterscheidet jedoch nicht zuverlässig zwischen Inhalt, der zusammengefasst werden soll, und Anweisungen, die in diesem Inhalt stecken. Eine präparierte Seite konnte so versteckte Anweisungen enthalten, die der Assistent beim Zusammenfassen wie legitime Befehle behandelte. Dieser Mechanismus heisst indirekte Prompt Injection und betrifft grundsätzlich jeden KI-Assistenten, der externe Inhalte verarbeitet.

Im Fall von CoSnitch schrieben solche versteckten Anweisungen Inhalte dauerhaft in den persistenten Speicher des Assistenten, also in das nutzerbezogene Gedächtnis, das über alle künftigen Sitzungen hinweg erhalten bleibt. Nach Angaben von Varonis überstanden diese Einträge Passwortänderungen, den Widerruf von Sitzungen und sogar die Neuregistrierung des Geräts. Der Eintrag blieb aktiv, bis der Nutzer ihn eigenhändig aus den Speichereinstellungen entfernte, was die meisten Nutzer nie tun, viele kennen die Funktion nicht einmal. Es entstand dabei kein Prozess, keine Datei, keine Netzwerkverbindung und kein Protokolleintrag, den eine Sicherheitslösung hätte melden können. Wer das Gedächtnis einmal manipuliert hatte, konnte beeinflussen, was Copilot dem Nutzer künftig anzeigt, bis hin dazu, eine bekannte Schwachstelle als harmlos darzustellen.

Meta-Hacking: Wie die Lücke gefunden wurde

Der eigentlich neue Beitrag von CoSnitch ist die Entdeckungsmethode. Die Forscher fragten Copilot zunächst, wie sich eine Eingabe ohne Nutzerinteraktion automatisch ausführen lasse. Der Assistent erklärte wiederholt, das sei nicht möglich, eine Eingabe brauche immer die Absicht des Nutzers. Doch jede Ablehnung enthielt eine technische Begründung, und genau diese Begründungen kartierten nach und nach die innere Architektur.

Die Forscher formulierten jede Rückfrage als harmlose Anschlussfrage, etwa zur Struktur von URLs, zu Deeplinks oder zum Verhalten beim Laden einer Seite mit bereits ausgefülltem Eingabefeld. Jede Antwort verkleinerte den Suchraum. Am Ende nannte Copilot von sich aus den undokumentierten Parameter, einschliesslich seiner früheren Funktionsweise und der Schutzmassnahmen, die ihn eigentlich deaktivieren sollten. Varonis fasst es so zusammen: Copilot wurde nicht geknackt, es wurde überredet. Der Widerstand des Modells war Teil der Technik, denn jedes "das geht nicht, weil ..." war eine Einladung, nach dem "weil" zu fragen.

Diese Methode, einen KI-Assistenten über die Erklärung seiner eigenen Schutzmechanismen zur Preisgabe seiner Interna zu bewegen, lässt sich auf jede agentische Plattform mit natürlichsprachlicher Schnittstelle übertragen. Sie ist der eigentliche Grund, warum CoSnitch über diesen einen Patch hinaus Bedeutung hat.

CVSS 8.8 oder 7.5? Die Bewertung im Detail

Für CVE-2026-24301 kursieren zwei unterschiedliche Schweregrade, und beide sind korrekt, weil sie von verschiedenen Stellen stammen.

• Microsoft (als CNA): Base Score 8.8 (hoch), Einstufung kritisch. Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Microsoft bewertet also eine erforderliche Nutzerinteraktion (UI:R, der Klick auf den Link) und nimmt Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit an. Der Temporal Score liegt bei 7.7.
• NVD (NIST): Base Score 7.5 (hoch). Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. Die NVD nimmt keine Nutzerinteraktion an (UI:N) und beschränkt die Auswirkung auf die Vertraulichkeit (C:H), ohne Integritäts- oder Verfügbarkeitsschaden.

Die Differenz entsteht also an zwei Stellen: ob der Klick des Opfers als Nutzerinteraktion zählt und ob neben dem reinen Auslesen von Daten auch Integrität und Verfügbarkeit betroffen sind. Die CWE-Einstufung ist in beiden Fällen CWE-77 (Command Injection). Microsofts eigene SSVC-Einschätzung vermerkt: Ausnutzung keine, Automatisierbarkeit nein, technische Auswirkung teilweise. Microsoft führt die Lücke als Information Disclosure und als bereits vollständig behoben, weshalb kein Kunden-Patch erforderlich ist.

Zeitleiste

• Dezember 2025: Varonis meldet CoSnitch an Microsoft.
• Februar 2026: Laut heise erfolgt eine erste, stille Teilkorrektur.
• 18. August 2026: Microsoft schliesst die Lücke serverseitig, veröffentlicht CVE-2026-24301 und stuft sie als kritisch mit CVSS 8.8 ein. Varonis publiziert am selben Tag die technische Analyse.
• 25. August 2026: Microsoft aktualisiert die Danksagung im Advisory (Revision 1.1).
• 22. Oktober 2026: Letzte Analyse des Eintrags durch die NVD.

Was Copilot-Nutzer jetzt prüfen sollten

Die Lücke ist geschlossen, und für die Ausführungs- und Abflusskette ist keine Nutzeraktion nötig. Ein offener Punkt bleibt dennoch: Varonis weist darauf hin, dass bereits vor dem Patch eingeschleuste Gedächtniseinträge bestehen bleiben, bis der Nutzer sie selbst entfernt. Die Disclosure lässt offen, ob Microsofts Korrektur alte Einträge rückwirkend gelöscht hat. Wer Copilot Personal mit verbundenen Konten genutzt hat, sollte daher:

• Das Gedächtnis prüfen. Im neuen Copilot unter Einstellungen, Personalisierung, neben "Gespeicherte Erinnerungen" auf "Verwalten" gehen. Einzelne Einträge über das Löschsymbol entfernen, alle über "Alle Erinnerungen löschen". Alternativ Copilot direkt fragen: "Was weisst du über mich?" Unbekannte oder unsinnige Einträge sind ein Warnsignal.
• Gespeicherte Erinnerungen abschalten, falls nicht benötigt: Einstellungen, Personalisierung, Schalter "Gespeicherte Erinnerungen" auf Aus. Das Abschalten löscht vorhandene Einträge nicht, dafür ist weiterhin "Verwalten" nötig.
• Verbundene Dienste reduzieren. Unter Profil, Connectors prüfen, welche Dienste (OneDrive, Outlook.com, Google Drive, Gmail, Kalender, Kontakte) tatsächlich verknüpft sind, und nicht benötigte trennen. Jeder verbundene Dienst vergrössert die Angriffsfläche. Microsoft betont, dass Copilot nur auf Inhalte zugreift, für die das Konto ohnehin berechtigt ist, und den Zugriff weder speichert noch ausweitet. Genau dieser legitime Zugriff war aber der Hebel.
• Bei Links mit vorbefüllter Eingabe vorsichtig sein. Öffnet ein Link einen KI-Assistenten mit bereits eingetragener Eingabe, zuerst lesen, was dort steht, bevor etwas läuft.

Was Unternehmen jetzt tun sollten

Auch wenn Microsoft 365 Copilot nicht betroffen war, liefert CoSnitch eine Blaupause für ein Risiko, das Unternehmen unabhängig vom Hersteller betrifft. Der sinnvolle Umgang:

• KI-Assistenten als privilegierte Insider behandeln. Ein Assistent mit breitem Datenzugriff verdient dieselbe Zugriffskontrolle und Anomalieerkennung wie ein Mitarbeiter mit weitreichenden Rechten.
• Schatten-KI eingrenzen. CoSnitch wirkt über private Konten, die mit Firmendaten in Berührung kommen. Eine klare Richtlinie dazu, welche Daten in private KI-Assistenten gelangen dürfen, ist wirksamer als ein pauschales Verbot. Das Thema gehört in jede Betrachtung von Schatten-KI als Compliance-Risiko.
• Ausgehenden Datenverkehr von Assistenten überwachen. Da die Ausleitung wie eine normale Zusammenfassungsanfrage aussieht, braucht es eine Verhaltensbasislinie, um Routine von Abfluss zu trennen. Ohne diese Basislinie fehlt die Grundlage, beides im Nachhinein zu unterscheiden.
• KI-Assistenten in Prüfprozesse aufnehmen. Verbraucher-KI gehört in das Lieferanten- und Risikomanagement sowie in Penetrationstests und nicht in eine Ausnahmeliste.
• Awareness anpassen. Der Übertragungsweg ist hier ein unauffälliger Link, keine verdächtige Anlage. Das gehört in die Security-Awareness-Schulung neben das klassische Phishing-Training.
• Wo möglich, lokale Alternativen prüfen. Für besonders sensible Anwendungsfälle verringern lokal betriebene Sprachmodelle die Abhängigkeit von fremden Cloud-Assistenten mit stehendem Zugriff auf verbundene Konten.

Für Microsoft 365 Copilot hat Microsoft die Gedächtnisfunktion ohnehin zusätzlich abgesichert: In einem Blogbeitrag vom 22. Juni 2026 beschreibt das Unternehmen Prüfungen beim Schreiben neuer Einträge, eigene Prompt-Injection-Klassifikatoren, eine Task-Adherence-Prüfung bei jedem expliziten Schreibvorgang und eine Protokollierung über das Feld MemoryUpdated in Defender Advanced Hunting und Sentinel. Diese Schutzmassnahmen gelten für das Unternehmensprodukt, nicht für Copilot Personal.

CoSnitch im Kontext: EchoLeak, Reprompt, SearchLeak

CoSnitch steht nicht allein, sondern ist der jüngste Eintrag in einer Reihe von Ein-Klick- und Zero-Click-Lücken rund um Microsoft Copilot.

• EchoLeak (CVE-2025-32711), Juni 2025: Die erste Zero-Click-Exfiltration gegen Microsoft 365 Copilot, von Aim Labs offengelegt, von Microsoft mit CVSS 9.3 bewertet. Sie kam ohne jede Nutzerinteraktion aus.
• Reprompt, Januar 2026: Von Varonis gegen Copilot Personal offengelegt, gepatcht im Januar 2026. Reprompt nutzte denselben Abfrage-Parameter als Einstieg und umging die Schutzmechanismen über eine Doppelabfrage.
• SearchLeak (CVE-2026-42824), Juni 2026: Von Varonis gegen Microsoft 365 Copilot Enterprise Search offengelegt. Microsoft bewertete sie als kritisch mit CVSS 6.5, die NVD mit 7.5.
• CVE-2026-24299, März 2026: Eine von Johann Rehberger (embracethered.com) gemeldete Information-Disclosure-Lücke in Microsoft 365 Copilot rund um das Gedächtnis, von Varonis im Zusammenhang mit CoSnitch genannt.

Das wiederkehrende Muster: Der Ausleitungsweg ist jeweils eine legitime Funktion, die zweckentfremdet wird, kein Netzwerk-Hintertürchen. Ein genauerer Blick auf diese Kette und auf die Sicherheitslücken von Microsoft 365 Copilot lohnt sich für jedes Unternehmen, das KI-Assistenten einführt. Der gemeinsame Nenner ist die Prompt Injection als strukturelles LLM-Risiko.

Was CoSnitch über KI-Sicherheit lehrt

Drei Lehren bleiben. Erstens: Die Trennung zwischen Daten und Anweisungen, die klassische Software selbstverständlich zieht, existiert bei Sprachmodellen nicht zuverlässig. Alles, was ein Modell liest, kann es als Befehl deuten, ob in einer URL oder in einer zusammenzufassenden Webseite. Zweitens: Ein KI-Assistent mit stehendem Zugriff auf E-Mail, Dateien und Kalender ist ein privilegierter Insider ohne Sicherheitsbewusstsein und sollte auch so abgesichert werden. Drittens: Die Hilfsbereitschaft eines Modells kann selbst zum Aufklärungskanal gegen das Modell werden, wie das Meta-Hacking zeigt. Ein Assistent, der seine eigenen Schutzmassnahmen im Detail erklären kann, kann über genau diese Erklärung zur Preisgabe bewegt werden.

Für Unternehmen heisst das: Architektonische Kontrollen, die nicht davon abhängen, dass der Assistent eine Frage verweigert, sind die eigentliche Antwort. Dazu gehören das Beschränken ausgehender Abrufziele, das Kennzeichnen der Herkunft abgerufener Inhalte und das Einschränken besonders riskanter Kombinationen verbundener Dienste.

Häufige Fragen zu CoSnitch (FAQ)

Was ist CoSnitch?

CoSnitch ist der von Varonis Threat Labs vergebene Name für eine Kette aus drei Schwachstellen in Microsoft Copilot Personal, geführt als CVE-2026-24301. Ein Klick auf einen präparierten Link konnte Copilot in der angemeldeten Sitzung des Opfers dazu bringen, Daten aus verbundenen Konten auszulesen und auszuleiten.

Ist CVE-2026-24301 noch gefährlich?

Nein. Microsoft hat die Lücke am 18. August 2026 serverseitig geschlossen. Es ist keine Nutzeraktion nötig, und es gibt keine Hinweise auf eine Ausnutzung in freier Wildbahn. Ein Restpunkt betrifft nur Gedächtniseinträge, die vor dem Patch eingeschleust worden sein könnten.

Bin ich von CoSnitch betroffen?

Betroffen war ausschliesslich Microsoft Copilot Personal, der kostenlose Verbraucher-Assistent, und auch dort nur, wenn ein Nutzer vor dem Patch auf einen präparierten Link geklickt hatte. Als Vorsichtsmassnahme sollten Nutzer von Copilot Personal ihr Gedächtnis auf unbekannte Einträge prüfen.

War Microsoft 365 Copilot betroffen?

Nein. Ein Microsoft-Sprecher stellte klar, dass Geschäftskunden nicht betroffen waren und die Lücke ausschliesslich Copilot Personal betraf. Die oft zu lesende Zuordnung zu Microsoft 365 Copilot ist falsch.

Ist CoSnitch ein Zero-Click-Angriff?

Nein, trotz anderslautender Meldungen. Der Angriff erforderte einen Klick des Opfers auf einen präparierten Link. Microsofts CVSS-Vektor führt entsprechend eine erforderliche Nutzerinteraktion (UI:R). Danach lief die Kette ohne weiteres Zutun.

Welche Daten konnten abfliessen?

In den Tests von Varonis unter anderem vollständige E-Mail-Texte, Betreff- und Absenderangaben, Kalendereinträge mit Teilnehmern und Orten, Dateinamen und Metadaten aus Google Drive, frühere Unterhaltungen sowie gespeicherte Gedächtniseinträge, jeweils aus den vom Nutzer verbundenen Konten.

Wie prüfe ich das Gedächtnis von Copilot?

Im neuen Copilot unter Einstellungen, Personalisierung, neben "Gespeicherte Erinnerungen" auf "Verwalten". Dort lassen sich einzelne Einträge über das Löschsymbol oder alle über "Alle Erinnerungen löschen" entfernen. Man kann Copilot auch direkt fragen, was es über einen gespeichert hat.

Warum geben Microsoft und die NVD unterschiedliche CVSS-Werte an?

Microsoft bewertet die Lücke mit 8.8 und nimmt neben dem Datenabfluss auch Auswirkungen auf Integrität und Verfügbarkeit sowie eine erforderliche Nutzerinteraktion an. Die NVD bewertet mit 7.5, beschränkt die Auswirkung auf die Vertraulichkeit und setzt keine Nutzerinteraktion an. Beide Werte sind in ihrem jeweiligen Rahmen korrekt.

Wie unterscheidet sich CoSnitch von EchoLeak?

EchoLeak (CVE-2025-32711) traf Microsoft 365 Copilot und kam ohne jede Nutzerinteraktion aus (Zero-Click). CoSnitch traf Copilot Personal und benötigte einen Klick. Gemeinsam ist beiden, dass der Datenabfluss über legitime Funktionen des Assistenten lief.

Was bedeutet CoSnitch für Unternehmen?

Auch ohne direkte Betroffenheit von Microsoft 365 Copilot zeigt CoSnitch, dass private KI-Assistenten mit Firmendatenberührung ein reales Risiko sind. Unternehmen sollten KI-Assistenten wie privilegierte Insider behandeln, Schatten-KI regeln, ausgehenden Verkehr überwachen und Awareness auf Links ausweiten, die KI-Tools öffnen.

Wie können sich Unternehmen gegen solche Angriffe schützen?

Wirksam sind architektonische Kontrollen, die nicht davon abhängen, dass ein Assistent eine Anfrage verweigert: das Beschränken ausgehender Abrufziele, das Minimieren verbundener Dienste, eine Verhaltensbasislinie für Assistenten-Verkehr und die Aufnahme von KI-Assistenten in Prüf- und Awareness-Programme. ADVISORI begleitet Unternehmen dabei im Rahmen der AI-Security-Beratung.

Quellen

• Varonis Threat Labs: "CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower" (18. August 2026).
• Microsoft Security Update Guide: CVE-2026-24301, Microsoft Copilot Information Disclosure Vulnerability.
• NIST National Vulnerability Database: CVE-2026-24301 Detail.
• CVE.org: CVE Record CVE-2026-24301.
• Dark Reading: "'CoSnitch' Attack Tricked Copilot Into Mapping Out Architecture" (18. August 2026).
• The Hacker News: "Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data From Connected Apps".
• Cloud Security Alliance: "CoSnitch: One-Click Data Exfiltration in Copilot Personal" (20. August 2026).
• heise online: "Microsoft behebt Sicherheitslücke: KI-Assistent Copilot verrät Schwachstellen".
• Microsoft Security Blog: "Guarding AI memory" (22. Juni 2026).