Erstes Thema: SearchLeak (CVE-2026-42824). Varonis Threat Labs hat eine dreistufige Angriffskette in Microsoft 365 Copilot Enterprise Search entdeckt: Ein präparierter Microsoft-Link, dessen URL-Parameter Copilot als Prompt interpretiert, kombiniert mit einer HTML-Rendering-Race-Condition und Bings Search-by-Image-Endpunkt als unfreiwilligem Exfiltrationsproxy. Ein Klick reicht – E-Mails, MFA-Codes, Kalendereinträge, alles was der User sehen darf, fließt ab. Microsoft hat server-seitig gepatcht. Das Muster – KI-Assistent wird durch Prompt Injection zur Datenwaffe – ist strukturell: EchoLeak, Reprompt, jetzt SearchLeak, drei Angriffe derselben Klasse.

Max bringt einen Blogpost von Google Cloud CISO Chris Betz, der beschreibt, wie Google seine eigene KI intern wie einen Insider behandelt: mit Least Privilege, Monitoring, Auditing und Segmentierung. Was mich interessiert: auch Google musste dafür erst mal sein Asset Management nachziehen und konsolidieren. Die Kernbotschaft bleibt trotzdem richtig – wenn Angreifer mit Machine Speed arbeiten, muss die Verteidigung das auch. Für CISOs bedeutet das: Model Security, Agent Security, Data Governance werden zur Pflicht, nicht zur Kür.

Dann Robert über NPM 12: Install Scripts von Dependencies laufen nicht mehr automatisch, bestimmte Remote-Dependencies werden blockiert. Überfällig und sinnvoll – aber 30-40% der NPM-Malware läuft erst beim Import, nicht bei der Installation. Wer einen Maintainer kompromittiert, kommt weiterhin durch. Gute Iteration, kein Allheilmittel.

Zum Abschluss: Apple erweitert Private Cloud Compute auf die Google Cloud. Dasselbe Zero-Trust-Prinzip wie bisher – selbst Google soll keinen Zugriff auf verarbeitete Nutzerdaten bekommen. Clevere Partnerschaft statt Frontier-Rennen.

SearchLeak / CVE-2026-42824 (Varonis)
https://www.varonis.com/blog/searchleak

Google Cloud CISO Chris Betz: AI Threat Defense
https://cloud.google.com/blog/products/identity-security/how-google-cloud-is-applying-ai-to-threat-defense

NPM 12 / Risky Business Soapbox mit Paul McCarty
https://risky.biz/soapbox_npm12

Apple Private Cloud Compute auf Google Cloud
https://security.apple.com/blog/private-cloud-compute-google-cloud

Breach FM diese Woche mit einer Premiere und zugleich Ausnahme. Da sich Max Imbiel noch im wohlverdienten Urlaub befinde, nehme ich aus Oslo eine kurze Solo Folge auf.Am Sonntag früh kam die Meldung: Anthropic hat Fable 5 – die öffentliche, mit Guardrails versehene Version von Mythos – sowie Mythos selbst abgeschaltet, auf Anweisung des US-Handelsministeriums per Export-Control-Direktive. Da die Order auch Anthropics eigene nicht-US-amerikanische Mitarbeiter traf, blieb Anthropic keine Wahl, als beide Modelle global zu deaktivieren.Zur Einordnung: Aus Regierungskreisen heißt es, Guardrails von Fable ließen sich jailbreaken. Anthropic selbst hat das als engen, nicht-universellen Jailbreak eingestuft, der auch bei anderen Modellen möglich ist. Ich sehe drei mögliche Erklärungen: echte Sicherheitsbedenken, wirtschaftlicher Protektionismus – oder der andauernde Kleinkrieg zwischen White House und Anthropic. Wahrscheinlich eine Mischung. Was mich am meisten beschäftigt: Wenn es wirklich um Sicherheit geht, warum wurde es nicht auch für US-Bürger gesperrt? Die EU-Souveränitätsdebatte bespreche ich lieber nächste Woche mit Max.Zweites Thema: Ein Varonis-Report, den ich unbedingt empfehlen möchte. Varonis hat einen OpenClaw-Agenten in einer realistischen Google-Workspace-Umgebung mit internen E-Mails, AWS-Credentials und CRM-Daten klassischem Phishing ausgesetzt. Ergebnis: Der Agent hat auf Social Engineering fast immer reagiert – Credentials rausgegeben, Kundendaten extern verschickt. Nicht weil das LLM ausgetrickst wurde, sondern weil es ein Trust-Problem ist. Wer gerade agentische Systeme im Backoffice aufbaut, sollte diesen Report lesen.

Anthropic Statement zur Abschaltung
https://www.anthropic.com/news/fable-mythos-access

Hintergrund: Amazon-CEO löste Abschaltung aus (Fortune)
https://fortune.com/2026/06/14/how-a-warning-from-amazon-led-the-white-house-to-shut-down-anthropics-mythos-model/

Varonis: KI-Agenten und Phishing

https://www.varonis.com/blog/openclaw-phishing

In der neuen Folge von Breach FM melde ich mich aus Helsinki, wo es derzeit nicht dunkel wird, Max Imbiel darf glücklicherweise wieder im Homeoffice sein.

The Record from Recorded Future News berichtet, dass Shyam Sankar, CTO von Palantir und seit über 20 Jahren im Unternehmen, als führender Kandidat für die seit Januar 2025 vakante CISA-Direktorenstelle gilt. Das White House dementierte mit "at this time this is not accurate" – was kein Dementi ist. Relevant wird die Personalie vor allem im zeitlichen Zusammenhang mit der neuen KI-Executive-Order, die die CISA erstmals mit durchsetzungsfähigen Binding Operational Directives ausstattet. Von Cyber-Koordinator zur KI-Governance-Behörde – wir haben da kein gutes Bauchgefühl.

Das Kernthema bringt Max: der Nightmare-Eclipse-Eklat bei Microsoft. Der Researcher hat zwischen April und Mitte Mai sechs Windows-Zero-Days veröffentlicht – BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma und MiniPlasma – alle ohne vorherige Koordination. Microsoft reagierte mit juristischen Drohungen, ruderte nach Community-Aufschrei zurück. Drei Exploits wurden aktiv ausgenutzt und ins KEV aufgenommen. Adam Shostack, Mitbegründer von Microsofts eigenem Threat-Modeling-Ansatz, kritisierte den Umgang offen. Der Kernvorwurf: Microsoft hält sich selbst nicht an seinen CVD-Prozess – Researcher spielen Bugs jetzt lieber untereinander weiter. Der Schaden trifft alle Nutzer.

Dann der Meta-Instagram-"Hack": Angreifer nutzten den Meta-KI-Support-Chatbot, um einfach eine neue E-Mail-Adresse am Zielkonto zu hinterlegen – der Bot schickte den Reset-Code dorthin, ohne zu verifizieren. Mindestens 20.225 Konten betroffen, darunter der Obama-White-House-Account. Angriffsfenster: sieben Wochen. Moral: Schreibrechte gehören nicht in Chatbots im Authentifizierungsflow – und 2FA aktivieren.

Shyam Sankar / CISA-Nominierung (The Record) https://therecord.media/trump-considers-palantir-exec-to-lead-cisa

Nightmare Eclipse: alle sechs Zero-Days im Überblick https://cipherssecurity.com/nightmare-eclipse-microsoft-windows-zero-day/

Microsoft Statement zu CVD und Nightmare Eclipse https://cybersecuritynews.com/microsoft-clarifies-nightmare-eclipse-controversy/

Meta Instagram Chatbot-Hack (404 Media) https://www.404media.co/hackers-simply-asked-meta-ai-to-give-them-access-to-high-profile-instagram-accounts-it-worked/

Meta bestätigt 20.225 betroffene Konten https://this.weekinsecurity.com/meta-confirms-thousands-of-instagram-accounts-were-hacked-by-abusing-its-ai-chatbot/