Das israelische Security-Startup Capsule Security hat mit ShareLeak und PipeLeak zwei indirekte Prompt-Injection-Schwachstellen in Microsoft Copilot Studio (CVE-2026-21520) und Salesforce Agentforce aufgedeckt. Diese Lücken ermöglichen Angreifern, über manipulierte Formularfelder, beispielsweise in SharePoint-Listen oder öffentlichen Lead-Formularen, bösartige Instruktionen in den Ausführungskontext eines KI-Agenten einzuschleusen, ohne direkten Systemzugang zu benötigen. Laut Capsule nutzen über 80 Prozent der Fortune-500-Unternehmen KI-Agenten, die mit Low-Code- und No-Code-Tools erstellt wurden.
- Das Security-Startup Capsule Security hat mit ShareLeak und PipeLeak kritische Prompt-Injection-Lücken in Microsoft Copilot und Salesforce Agentforce aufgedeckt.
- Durch manipulierte Formularfelder können Angreifer smarte KI-Agenten ohne direkten Systemzugriff zur massenhaften Datenexfiltration zwingen.
- Unternehmen müssen ihre KI-Systeme umgehend als privilegierte Nutzer behandeln und streng reglementieren, da unbemerkt abfließende CRM-Daten massive DSGVO-Probleme verursachen.
Das Problem liegt darin, dass diese Angriffe indirekt über vertrauenswürdige Datenquellen erfolgen und KI-Modelle nicht zuverlässig zwischen Systeminstruktionen und Nutzdaten unterscheiden können. Dies unterstreicht die Notwendigkeit für robuste Security-Frameworks im Enterprise-Einsatz. Bei PipeLeak konnte ein präparierter Lead-Eintrag dazu genutzt werden, dass ein interner Mitarbeiter unwissentlich massenhaft weitere Datensätze über die CRM-Funktion extrahierte. Salesforce hat das Prompt-Injection-Problem bestätigt und Maßnahmen wie Trusted-URLs-Enforcement implementiert, während Microsoft ShareLeak intern gepatcht hat. Aus EU-Sicht sind solche unkontrollierten Datenabflüsse aus CRM-Systemen, wie die massenhafte Extraktion von Kundendatensätzen, direkt DSGVO-relevant und können sanktioniert werden; eine Datenschutz-Folgenabschätzung ist für hochautomatisierte Agenten-Workflows ohnehin erforderlich.
Capsule Security betont die Notwendigkeit, KI-Agenten als neue Klasse privilegierter Nutzer zu behandeln, deren Zugriffsrechte mit Maschinentempo operieren und kein deterministisches Verhalten zeigen. Klassische Sicherheitsmaßnahmen sind hier nicht ausreichend. Die Forscher empfehlen, externe Eingaben stets als nicht vertrauenswürdig einzustufen, konsequent das Prinzip des geringsten Privilegs anzuwenden und ausgehende E-Mail-Funktionen in Agentforce-Instanzen zu deaktivieren, sofern keine strikte Eingabevalidierung vorhanden ist.
❓ Häufig gestellte Fragen
📚 Quellen
- IT Brief New Zealand: Capsule Security raises $7 million to guard AI agents
