Microsoft Copilot: KI-Assistent mit Sicherheitslücken

Microsoft Copilot ist tief in Microsoft 365 integriert und hat Zugriff auf praktisch alles, was ein Mitarbeiter sehen kann – E-Mails, SharePoint-Dokumente, Teams-Chats. Genau das ist das Problem: In den meisten Unternehmen haben Mitarbeiter weit mehr Zugriffsrechte als nötig. Laut einem Bericht von Concentric AI sind 16 % aller geschäftskritischen Daten übermäßig geteilt, im Schnitt rund 800.000 Dateien pro Organisation. Copilot erbt diese Berechtigungen – und kann damit ungewollt zum Datenleck werden.

Hinzu kommt: Copilot-Ausgaben übernehmen keine Vertraulichkeits-Labels der Quelldateien. Wer also ein Dokument mit „Streng Vertraulich" als Quelle nutzt, bekommt eine KI-Ausgabe ohne diese Kennzeichnung – die dann unbeabsichtigt weitergeteilt wird. Auch eine konkrete Schwachstelle (CVE-2024-38206) in Copilot Studio wurde bekannt: Ein SSRF-Fehler ermöglichte es authentifizierten Angreifern, interne Microsoft-Infrastruktur abzufragen. Microsoft hat den Fehler gepatcht, aber er zeigt, dass KI-Tools neue Angriffsflächen schaffen.

Bin ich betroffen? Wer Microsoft 365 mit Copilot einsetzt und keine gezielten Zugriffskontrollen eingerichtet hat, ist potenziell betroffen. Besonders riskant: SharePoint-Ordner mit breiten Berechtigungen, unklassifizierte Dokumente und externe Freigaben.

Empfehlung: Vor dem Copilot-Einsatz Berechtigungen nach dem Least-Privilege-Prinzip auditieren, Datei-Klassifizierungen durchsetzen und externe Freigaben einschränken. Wer Copilot bereits nutzt, sollte prüfen, welche Daten für wen sichtbar sind – am besten mit einem Data-Access-Audit.

Quelle: concentric.ai

Tags :

Related Posts

Microsoft gesteht fehlende Garantie für EU-Datenschutz

Bei einer Anhörung vor dem französischen Senat räumte Anton Carniaux, Chefjustiziar von Microsoft France, ein, dass der Konzern nicht garantieren könne, EU-Daten niemals an US-Behörden weiterzugeben. Hintergrund sind gesetzliche Pflichten nach dem US-CLOUD Act und Patriot Act. Zwar prüfe Microsoft jedes Auskunftsersuchen genau und habe bislang keine Daten aus Frankreich weitergegeben, bei formal korrekten Anfragen sei das Unternehmen jedoch zur Herausgabe verpflichtet. Die Aussage befeuert EU-weit die Debatte über digitale Souveränität und den Einsatz von US-Cloud-Diensten wie Microsoft, Amazon AWS oder Google Cloud.

Read More

Clawdbot: KI-Automation mit hohem Risiko

Stellen Sie sich vor: Eine KI, die nicht nur Fragen beantwortet, sondern tatsächlich Aufgaben auf Ihrem Computer ausführt. Die Ihren Browser steuert, Dateien verwaltet, Code schreibt und testet – alles per Chat-Befehl von Ihrem Smartphone aus. Klingt wie Science-Fiction? Willkommen bei Clawdbot, dem Open-Source-Projekt, das derzeit die Tech-Welt elektrisiert und nebenbei einen regelrechten Run auf Mac Minis ausgelöst hat.

Read More

OpenAI will kritische ChatGPT-Verläufe Behörden melden

Das KI-Unternehmen OpenAI plant, bei gefährlichen Inhalten in ChatGPT-Konversationen stärker einzugreifen. Wenn Nutzer anderen Menschen ernsthaft Schaden androhen, sollen entsprechende Verläufe von einem Team geprüft und – falls akute Gefahr besteht – an die Strafverfolgung weitergegeben werden.

Read More