Erster KI-Wurm in Word: Copilot verbreitet versteckten Text

Ein in einem Word-Dokument versteckter Text kann sich über Microsoft 365 Copilot selbst weiterverbreiten – von Dokument zu Dokument, ohne dass jemand es bemerkt. Das hat der norwegische Forscher Håkon Måløy am 28. Juli 2026 in seinem Blogpost «Context Collapse, Part 3» öffentlich gemacht. Fachmedien wie The Register und der KI-Sicherheitsexperte Simon Willison werten den Fall als einen der ersten öffentlichen Nachweise eines sich selbst verbreitenden Prompt-Injection-Effekts in einer weit verbreiteten Office-Software. Nach 144 Tagen koordinierter Abstimmung mit Microsoft steht laut Måløy weiterhin keine vollständige Behebung bereit.

Wenn ein Dokument zum Träger wird

Der Kern des Problems ist eine sogenannte Prompt Injection: in ein Dokument eingebetteter Text, der von der KI nicht als blosser Inhalt, sondern als Anweisung verstanden wird. Nutzt jemand ein solches Dokument als Vorlage, um mit Copilot einen Text zu erstellen oder zu überarbeiten, kann der Assistent die versteckte Anweisung befolgen – und sie zugleich in das neu erzeugte Dokument übernehmen. Damit wird dieses selbst zum Träger: Wird es später erneut als Vorlage verwendet, kann der Effekt weiterlaufen, auch ohne das ursprüngliche Dokument. Genau diese Weitergabe von Dokument zu Dokument ist es, die den Vergleich mit einem «Wurm» rechtfertigt.

Kein Schadcode, kein Zugriff aufs Firmenkonto

Wichtig zur Einordnung: Es handelt sich nicht um klassische Schadsoftware. Es gibt keine ausführbare Datei, keinen Exploit-Code im herkömmlichen Sinn – nur Text. Und der Angreifer braucht keinen Zugriff auf das Microsoft-365-Konto oder den Tenant des Opfers. «Der Angreifer muss dem Opfer nur ein manipuliertes Dokument zukommen lassen», schreibt Måløy – etwa über einen geteilten Link, Teams oder eine E-Mail. Konkrete technische Details, den genauen Wortlaut der Anweisung und eine nachahmbare Umsetzung hat Måløy bewusst zurückgehalten und nur die Angriffsklasse beschrieben.

144 Tage – und noch kein Schlussstrich

Måløy meldete das Verhalten laut seiner Zeitleiste bereits im März 2026 an Microsofts Sicherheitszentrum MSRC. Microsoft bestätigte den Befund, rollte mehrere Fixes aus und hob dafür sogar das zugrunde liegende Modell an – jeder Fix schloss aber nur die jeweils gemeldete Variante, nicht die dahinterliegende Klasse. Zweimal wurde die Veröffentlichung auf Microsofts Wunsch verschoben. Nach 144 Tagen entschied sich Måløy zur Offenlegung: «Zwei Behebungsversuche, darunter ein Modell-Upgrade, haben die Klasse nicht geschlossen.» Am 29. Juli griffen The Register und Simon Willison die Sache auf, und der Fall landete auf der Startseite von Hacker News.

Microsoft setzt auf Verteidigung in mehreren Schichten

Microsoft hat den Befund gegenüber The Register bestätigt und erklärt, man verfolge eine «Defense-in-Depth»-Strategie mit Schutzmechanismen, die schädliche Anweisungen an mehreren Stellen blockieren sollen; man verstärke diese laufend. Nutzerinnen und Nutzer sollten die neuesten Updates installieren, Inhalte aus unbekannten Quellen mit Vorsicht behandeln und KI-generierte Inhalte vor der Verwendung prüfen. Dass Microsoft zeitgleich ein eigenes KI-Modell für die Cyberabwehr vorgestellt hat, zeigt, wie sehr der Konzern das Feld inzwischen mit KI gegen KI angeht.

Fremde Dokumente sind ab jetzt verdächtig

Für dich als Copilot-Nutzer in einem Schweizer Betrieb – Microsoft 365 ist in vielen Firmen und Verwaltungen Standard – bleibt die Lehre vor allem organisatorisch. Måløy und Microsoft empfehlen übereinstimmend drei nüchterne Vorsichtsmassnahmen: Dokumente aus externer oder unbekannter Quelle grundsätzlich als nicht vertrauenswürdig behandeln, angehängte Dokumente vor einer Copilot-Aufgabe durchsehen und von Copilot erzeugte oder bearbeitete Dokumente prüfen, bevor du sie weitergibst. Und Microsofts Updates im Auge behalten – denn eine saubere Lösung der gesamten Angriffsklasse ist laut Måløy Forschungsarbeit, kein einzelner Patch.