Microsoft Copilot Cowork, ein reales Microsoft-Produkt, weist eine sicherheitskritische Schwachstelle auf: Agenten innerhalb der Plattform können E-Mails direkt an den Posteingang des Nutzers senden – ohne explizite Genehmigung. Diese Nachrichten können externe Bilder enthalten, die beim Öffnen Netzwerkanfragen an externe Server auslösen. Gelingt einem Angreifer eine Prompt-Injection, kann er den Agenten dazu bringen, OneDrive-pre-authenticated-Download-Links in solche Nachrichten einzubetten. Öffnet der Nutzer die E-Mail, werden diese Links über die Bild-Requests nach außen übertragen – der Angreifer erhält damit Zugriff auf die betreffenden Dateien, ohne weitere Authentifizierung. Simon Willison kommentiert den Fall als symptomatisch für das größte ungelöste Design-Problem agentic­er Systeme: die zuverlässige Verhinderung von Datenexfiltration durch manipulierte Agenten. Der Fall illustriert das sogenannte „lethal trifecta" aus unkontrollierter Agenten-Aktion, externer Ressourceneinbindung und pre-authentifizierten Zugriffslinks.