Die Sicherheitsforscher von Varonis nutzten keine klassischen Methoden wie Reverse Engineering, sondern befragten Microsoft 365 Copilot schlicht so lange, bis das Modell seinen eigenen Schutzmechanismus erklärte – und dabei einen undokumentierten internen Parameter preisgab. Im Dialog stellten die Forscher gezielte Fragen zur Architektur der Guardrails: Warum sei automatische Ausführung unmöglich, welche URL-Strukturen und Deep-Links seien involviert, was passiere beim Laden einer Seite mit vorausgefülltem Prompt-Feld? Jede Antwort lieferte neue technische Details, bis Copilot schließlich den Parameter ?autorun=1 offenbarte, der in Kombination mit dem bekannten ?q=-Parameter die Nutzerbestätigung vollständig umgeht. Ein präparierter Link im Format https://copilot.microsoft.com/?q=&autorun=1 genügte, um beim bloßen Klick des Opfers Prompts automatisch auszuführen – inklusive dem Durchsuchen des E-Mail-Postfachs nach Passwörtern und dem Exfiltrieren der Daten in base64-kodierter Form an einen angreiferkontrollierten Webhook-Server. Microsoft dämpfte den Angriffsvektor zunächst still im Februar, indem der ?q=-Parameter keine Texteingabe mehr in den Chatbot injizieren konnte; umfassendere Fixes folgten erst am 26. August 2026. Separat demonstrierte Varonis einen zweiten Angriff: Über Prompt Injection in Webseiten-Metadaten ließ sich der persistente Copilot-Speicher manipulieren – mit Auswirkungen, die auch nach Passwortänderungen oder Session-Widerrufen bestehen bleiben.