Connect with us

Apps & Mobile Entwicklung

Gefährliche Angriffe: Ein Klick und M365-Copilot Enterprise wird zum Da­ten­dieb


Forscher des Datensicherheitsunternehmens Varonis haben eine kritische Angriffskette entdeckt, mit der sich Microsoft 365 Copilot Enterprise zum Diebstahl vertraulicher Unternehmensdaten missbrauchen lässt. Betroffen sind Inhalte aus E-Mails, OneDrive und SharePoint. Für einen erfolgreichen Angriff genügt ein Klick.

Ein Klick für alles

Die als „SearchLeak“ bezeichnete Angriffskette nutzt eine mit der Kennung CVE-2026-42824 versehene Schwachstelle aus, die im Kern aus drei voneinander unabhängigen Sicherheitslücken besteht. Für sich genommen sollen die einzelnen Schwachstellen vergleichsweise begrenzte Auswirkungen haben, ihre Kombination macht jedoch die eigentliche Gefahr aus. Die Forscher sprechen deshalb von einer „Exploit Chain“, bei der mehrere Fehler gezielt ineinandergreifen.

Ein diebischer Dreiteiler

Im ersten Schritt setzt der Angreifer auf eine sogenannte „Parameter-to-Prompt-Injection“, bei der der Parameter „q“ in Microsoft 365 Copilot Enterprise Search missbraucht wird. Anders als der klassische Copilot erzeugt Copilot Enterprise Search keine Inhalte aus dem Nichts, sondern durchsucht Unternehmensdatenquellen wie Outlook-Postfächer, Kalender, SharePoint-Bibliotheken oder OneDrive-Speicher. Die entsprechende Anweisung lässt sich problemlos in einem präparierten Link unterbringen. Darüber hinaus kann gezielt nach bestimmten Inhalten gesucht werden, ohne dass weitere Interaktionen des Opfers erforderlich sind.

Der zweite Teil des Angriffs nutzt eine Race Condition bei der HTML-Darstellung aus. Während Copilot die Suchantwort an den Browser übermittelt, wird deren Inhalt kurzzeitig als rohes HTML dargestellt. Erst anschließend erfolgt die Umwandlung in einen sicheren, neutralisierten Code-Block. Dieses kurze Zeitfenster reicht offenbar aus, um schädliche HTML-Elemente wie etwa den Bild-Tag auszuführen. Im letzten Schritt kommt eine Server-Side Request Forgery (SSRF) in Bings Funktion „Search by Image“ zum Einsatz. Eigentlich sollen Content-Security-Policy-Regeln (CSP) verhindern, dass Websites beliebige externe Inhalte laden. Da die Bildanfrage jedoch über Microsofts Bing-Dienste abgewickelt wurde, stufte das System diese als vertrauenswürdig ein.

Auf diesem Weg kann Copilot die abgegriffenen Daten abschließend in eine Bild-URL einbetten, die anschließend über Bing vom Server des Angreifers abgerufen wird. Die darin enthaltenen Informationen werden dabei direkt übertragen. Anschließend genügt die Auswertung der Server-Protokolle, um an die Daten zu gelangen. Der gesamte Vorgang bleibt zudem zu jedem Zeitpunkt vollständig vor dem Opfer verborgen, das von dem Datendiebstahl nichts bemerkt – ein Umstand, der den Angriff besonders gefährlich macht.

Bekannte Schwachstellen bei KI besonders gefährlich

Der Vorfall zeigt erneut, wie anfällig KI-Systeme trotz gegenteiliger Verlautbarungen vieler Unternehmen weiterhin sind und dass ihr eigenständiger Zugriff auf sensible Daten sorgfältig abgewogen werden sollte. Gleichzeitig verdeutlicht der Angriff, dass auch KI-gestützte Anwendungen weiterhin mit klassischen Sicherheitsproblemen zu kämpfen haben.



Source link

Apps & Mobile Entwicklung

DRAM besser ausnutzen: AMD kauft KI-Startup MEXT für sein Data-Center-Portfolio


DRAM besser ausnutzen: AMD kauft KI-Startup MEXT für sein Data-Center-Portfolio

Bild: MEXT

AMD übernimmt mit MEXT ein KI-Startup, das sich einer effizienteren Speichernutzung im Server verschrieben hat. Indem inaktive Daten aus dem DRAM auf NAND-Flash ausgelagert und per KI-Vorhersage wieder bereitgestellt werden, soll der DRAM-Bedarf deutlich gesenkt werden. Virtuell wird der Arbeitsspeicher verdoppelt.

Die Branche befindet sich derzeit in einer Zwickmühle: Einerseits verlangen moderne Anwendungen wie KI-Modelle, HPC-Workloads, Datenanalysen und Virtualisierung nach immer mehr Arbeitsspeicher. Andererseits ist dieser durch die extrem hohe Nachfrage knapp und teuer geworden, sodass Speicher inzwischen als größter Kostenfaktor im Rechenzentrum gilt.

Was steckt hinter MEXT?

Mit MEXT übernimmt AMD ein Entwicklerteam mitsamt seiner KI-gestützten „Predictive-Memory-Technologie“. Mit dieser wird primär erreicht, dass sich im System der NAND-Flash wie DRAM verhält. Dadurch wird das Vorhandensein von mehr DRAM simuliert. Im Grunde handelt es sich also um eine Form von virtuellem Arbeitsspeicher.

In einem Beispiel wird gezeigt, wie sich per Software der Arbeitsspeicher im Server verdoppeln lässt. Auf seiner Webseite wirbt MEXT aber auch damit, dass sich die Speichermenge vervierfachen lasse. Im Gegenzug könne dieselbe Speichermenge mit nur der halben Menge (oder einem Viertel) an physischem RAM erreicht werden. Das senkt wiederum die Kosten, denn NAND-Flash ist erheblich günstiger als DRAM.

Allerdings ist NAND-Flash auch wesentlich langsamer als DRAM und eignet sich daher von allein nicht dazu, diesen zu ersetzen.

KI verwaltet Daten in RAM und NAND

Hierbei kommt die KI-Technik von MEXT ins Spiel: Die Software erkennt, welche Daten inaktiv („kalt“) sind und lagert diese vom DRAM auf den NAND-Flash aus. Zugleich liefert sie eine Prognose dafür, welche Daten eine Anwendung demnächst benötigen könnte, um diese schnellstmöglich wieder in den DRAM zu befördern. Damit wird der Geschwindigkeitsnachteil des NAND-Flash kaschiert. Zumindest ist es das, was hier versprochen wird. Inwieweit sich der Einsatz von MEXT auf die Performance im Server auswirkt, ist der Redaktion nicht bekannt.

Das Ziel ist es die steigenden Kosten für Serversysteme im Zaum zu halten und vorhandene Ressourcen effektiver zu nutzen. AMD will die Technik von MEXT fortan im eigenen Data-Center-Portfolio einsetzen. Was genau das bedeutet, bleibt abzuwarten.



Source link

Weiterlesen

Apps & Mobile Entwicklung

Integration von „Tasks“: xAI soll an Automati­sierungs­funktion für Grok arbeiten


Integration von „Tasks“: xAI soll an Automati­sierungs­funktion für Grok arbeiten

Bild: xAI

Auch wenn xAI-Mutterkonzern SpaceX einen beträchtlichen Teil seiner Rechenleistungen mittlerweile für andere Unternehmen wie Google oder Anthropic vermietet, bedeutet das nicht, dass die Entwicklung des eigenen KI-Systems Grok auf Eis gelegt wurde. So soll dieser nun eine Automatisierungsfunktion erhalten.

Tasks sollen in neuer Funktion aufgehen

Mit der neuen Lösung soll unter anderem die bisherige „Tasks“-Funktion ersetzt und erweitert werden. Darüber hinaus sollen laut einem Bericht von TestingCatalog weitere Neuerungen geplant sein, zu denen unter anderem die Auswahl spezieller Grok-Skills sowie die freie Wahl des verwendeten KI-Modells für automatisierte Abläufe gehören sollen.

Entsprechende Hinweise haben die Experten in der aktuellen Grok-Version entdeckt. Diese deuten darauf hin, dass xAI die bestehende Task-Funktion in ein neues Automatisierungssystem überführen möchte. Die bisherigen Möglichkeiten zur zeitgesteuerten Ausführung von Aufgaben sollen dabei erhalten bleiben, Anwender könnten somit weiterhin Prompts zu individuell festgelegten Zeitpunkten automatisch ausführen lassen.

Grok soll eine neue Automationsfunktion erhalten
Grok soll eine neue Automationsfunktion erhalten (Bild: TestingCatalog)

Skills werden mächtiger

Ein zentraler Bestandteil der Weiterentwicklung soll zudem die Integration der sogenannten Skills sein, die xAI erst Mitte Mai eingeführt hatte. Dabei handelt es sich um wiederverwendbare Pakete aus Anweisungen, Skripten und Ressourcen, die Grok ausführen kann. In Verbindung mit den offenbar ebenfalls geplanten erweiterten Steuerungsmöglichkeiten sollen Anwender künftig festlegen können, dass bestimmte Aufgaben stets auf einen definierten Skill zurückgreifen. Die wiederholte Erstellung neuer Prompts wäre damit nicht mehr erforderlich.

Auch die Skills sollen bei Grok erneuert werden
Auch die Skills sollen bei Grok erneuert werden (Bild: TestingCatalog)

In diesem Zusammenhang soll auch eine direkte Auswahl des verwendeten KI-Modells vorgesehen sein. Bislang bietet die Tasks-Funktion lediglich einen Expert-Modus, der auf ein leistungsfähigeres Modell zurückgreift. Mit dem neuen Ansatz könnten Nutzer künftig abhängig vom jeweiligen Einsatzzweck zwischen verschiedenen KI-Modellen wählen und damit direkten Einfluss auf Kosten, Geschwindigkeit und Ergebnisqualität nehmen.

Das Wie und Wann ist noch unklar

Offen bleibt bislang allerdings, wie die neuen Funktionen umgesetzt werden sollen. Derzeit ist die Tasks-Funktion über das Uhrsymbol in den Grok-Webanwendungen sowie in den mobilen Apps erreichbar. Unklar ist daher, ob die künftigen Automationen ausschließlich dort integriert werden oder zusätzlich in die kürzlich aufgetauchte Desktop-Anwendung „Grok Build“ Einzug halten.

Wann die neuen Funktionen verfügbar sein werden, ist derzeit ebenfalls noch nicht bekannt. Da xAI in den vergangenen Monaten zahlreiche neue Funktionen in kurzer Zeit eingeführt hat, erscheint eine zeitnahe Veröffentlichung durchaus möglich.



Source link

Weiterlesen

Apps & Mobile Entwicklung

Steam Next Fest: Virtuelle Indie-Messe liefert hunderte Spieledemos


Steam Next Fest: Virtuelle Indie-Messe liefert hunderte Spieledemos

Bild: Valve

Dreimal im Jahr rückt Valve mit der Steam-Spielevorschau eine Woche lang Demos zu neuen Indie-Games und Entwickler-Livestreams in den Mittelpunkt – und jetzt ist es wieder soweit. Noch bis zum 22. Juni um 19:00 Uhr stehen auf Steam „hunderte“ noch nicht erschienene Spiele im Rahmen kostenloser Demo-Versionen zur Verfügung.

Eine Woche voller Indie-Demos

Dabei handelt es sich überwiegend um bevorstehende Indie-Projekte und Spiele kleinerer Entwicklerteams. Triple-A-Produktionen nehmen in der Regel nicht an der Aktion teil. Bei den Genres wiederum deckt die Steam-Spielevorschau eine weite Bandbreite ab: Von Action-Rollenspielen über Aufbauspiele bis hin zu Ego-Shootern ist alles dabei. Valve bewirbt das Event als Online-Alternative zu Spielemessen, auf denen Besucher noch lange nicht verfügbare Titel anspielen können, und betont: Im Gegensatz zum hektischen Ausprobieren im Messetrubel lassen sich Spiele beim Next Fest in aller Ruhe und ohne Wartezeit antesten. Das Versprechen ist dementsprechend das Erlebnis der Indie Area in Halle 10 auf der Gamescom – nur eben in virtuell.

Einen ersten Anhaltspunkt zu interessanten Spielen liefert neben einem Trailer eine von Valve algorithmisch zusammengestellte „Entdeckungsliste“ an teilnehmenden Spielen mit verfügbarer Demo-Version auf der Startseite der Aktion im Steam-Shop, die unter Berücksichtigung der bisher gespielten Titel eines Steam-Accounts ausgewählt wurden.

Entwickler dürfen mit einem Spiel nur ein Mal an Valves Spielevorschauen teilnehmen. Das bedeutet im Umkehrschluss, dass die allermeisten der diesmal teilnehmenden Titel erstmals im Rahmen einer Demo spielbar sind.

Wer konkrete Spiele empfehlen möchte, kann das in den Kommentaren tun. Auch Anmerkungen oder Erfahrungen zu teilnehmenden Titeln sind gerne gesehen – welche Games kommen bei euch gut an und welche Demo sollte man nicht verpassen?

Entwickler-Livestreams beantworten Fragen

Was während der Teilnahme an einer Vor-Ort-Messe aber auch gegeben ist: Der kommunikative Austausch mit den Entwicklern. Diesbezüglich verweist Valve auf die zahlreichen Livestreams im Rahmen des Steam Next Fests, in denen Spielentwickler ihre eigenen Titel spielen sowie erklären, Einblicke in die Entwicklung geben und auf die Fragen des Publikums eingehen.

Dreimal im Jahr

Das Steam Next Fest findet dreimal im Jahr statt, üblicherweise im Februar, im Juni und im Oktober. Bis zur nächsten Ausgabe mit gänzlich neuen Demos dauert es also noch vier Monate. Bis dahin stehen einige klassische Steam-Sales an, beginnend mit dem großen Summer Sale am 25. Juni. Die nachfolgende Tabelle bietet eine Übersicht über alle Steam-Events bis zum Ende des Jahres 2026.

Übersicht zu bereits angekündigten Steam-Aktionen



Source link

Weiterlesen

Beliebt