Un ver de mots s’infiltre dans Copilot et sème le chaos

MIS À JOUR Méfiez-vous des documents non fiables. Selon les recherches, un attaquant peut cacher des instructions malveillantes dans un document Word qui, lorsqu’elles sont incluses dans le contexte de Copilot for Word, peuvent modifier la sortie du document et copier les instructions dans des fichiers nouvellement créés qui utilisent le document concerné comme source, sans que la victime ne s’en aperçoive.

Håkon Måløy, un data scientist norvégien titulaire d’un doctorat en IA appliquée et en ML, a révélé publiquement le problème dans un article de blog mardi. Måløy décrit le problème de manière très détaillée tout en retenant la charge utile spécifique de l’invite, arguant que, étant donné qu’il n’existe aucune atténuation robuste, il serait irresponsable de divulguer quoi que ce soit au-delà de la classe de vulnérabilité.

« À ma connaissance, il s’agit de l’une des premières démonstrations publiques de l’auto-propagation d’un ver IA documenté via des flux de travail normaux dans une suite de productivité commerciale grand public », a noté Måløy.

Måløy a déclaré qu’il travaillait avec Microsoft depuis mars 2026 pour remédier à la vulnérabilité, mais après plusieurs mises à jour de Copilot, cette nouvelle classe de ver Copilot est toujours viable. Microsoft a atténué l’exploit démontré par son invite de preuve de concept originale, mais Måløy a déclaré que la reformulation de la charge utile lui avait permis de propager avec succès le ver et de modifier les données financières dans un document cible. Måløy et Microsoft ont retardé à deux reprises la divulgation publique du problème, mais, après 144 jours, il a déclaré dans son rapport que les gens devaient en être informés.

« La période de coordination convenue avec Microsoft a été épuisée et les tests montrent qu’aucune atténuation robuste pour la classe de vulnérabilité plus large n’est actuellement disponible », a écrit Måløy. « Deux tentatives d’atténuation, dont une mise à niveau du modèle, n’ont pas permis de fermer la classe. »

Comment Copilot propage un ver Word

Måløy a expliqué l’exécution du ver avec un exemple impliquant un employé préparant un rapport financier pour son entreprise.

L’employé télécharge une analyse de marché à partir d’un site Web de confiance pour l’aider à préparer un rapport financier dans Copilot, sans savoir que la source a été compromise et que le document qu’il a téléchargé contient des instructions malveillantes cachées. Les instructions cachées (insérées sous forme de petit texte blanc dans sa preuve de concept) indiquent à Copilot de modifier les chiffres dans le rapport généré par l’employé et de copier le ver dans le rapport qu’il crée avec Copilot.

Si un autre employé ajoute ultérieurement ce rapport à son propre travail, tout le processus recommence et les documents générés à partir de celui-ci contiennent également le ver, ce qui, à mesure qu’il se propage, rend extrêmement difficile la traçabilité de l’infection jusqu’à sa source.

« L’attaque peut donc continuer sans autre implication du site Web compromis ou du document malveillant d’origine », a déclaré Måløy. « L’attaquant n’a pas besoin d’accéder au locataire Microsoft 365 de la victime. L’attaquant n’a qu’à partager un document malveillant avec la victime. »

Copilot devrait utiliser les informations contenues dans les documents qu’un utilisateur inclut dans son contexte pour un projet sans traiter les instructions intégrées dans un document comme des invites supplémentaires, a déclaré Måløy, mais ses recherches suggèrent qu’il ne le fait pas toujours.

Un défaut fondamental

Måløy affirme qu’il a essentiellement mis au point un nouveau type d’attaque par injection rapide inter-domaines qui abuse d’un élément fondamental de l’architecture LLM moderne.

« Pour que les assistants IA soient utiles, ils doivent souvent traiter des e-mails, des documents, des pages Web, des mémoires, des résultats d’outils et d’autres informations pouvant être contrôlées par un attaquant », a déclaré le chercheur. Mais si un LLM doit traiter des données afin de déterminer qu’elles contiennent une attaque, l’attaque pourrait déjà influencer cette détermination.

« S’appuyer sur le modèle pour détecter les XPIA revient donc à demander à un interprète d’exécuter un programme non fiable pour déterminer si ce programme peut être exécuté en toute sécurité », a affirmé Måløy.

Si Microsoft ou une autre entreprise plaçait un autre modèle devant ce modèle pour vérifier le contenu malveillant, cela ne ferait que déplacer le problème vers l’extérieur, a déclaré Måløy, créant un scénario de « LLM jusqu’en bas ».

« Le défi à long terme réside probablement dans la conception de systèmes dans lesquels les objectifs et les intentions existent également indépendamment des informations traitées », a-t-il déclaré. D’ici là, affirme Måløy, « tout système qui intègre aujourd’hui un LLM dans un flux de travail fiable doit supposer que le contenu contrôlé par un attaquant entrant dans le contexte du modèle entraînera une compromission dans un certain sens ».

Que peuvent faire les clients de Copilot pour réduire le risque ? À part abandonner Copilot, il n’y a pas grand-chose.

« Aucune mesure corrective côté client ne résout complètement le problème au moment de la publication », a déclaré Måløy, mais il a quelques conseils.

Traitez les documents provenant de sources externes comme non fiables lorsque vous les utilisez dans Copilot, recommande-t-il, et examinez entièrement chaque document avant de l’envoyer à Copilot, et examinez entièrement tous les documents générés ou modifiés par Copilot avant de les distribuer.

Sheesh – si tu dois le faire en fait lire ce genre de choses, vous pourriez tout aussi bien couper Copilot de la boucle et réfléchir vous-même.

Microsoft a été en contact pour confirmer la recherche, mais la déclaration de la société ne fait rien pour apaiser les craintes qu’il s’agisse d’un problème non résolu.

« Nous avons pris en compte les résultats rapportés par le chercheur et les remercions d’avoir travaillé avec nous via une divulgation coordonnée des vulnérabilités. Pour faire face à cette classe de risque, nous utilisons une stratégie de défense en profondeur avec des protections qui bloquent les instructions malveillantes à plusieurs points et aident à maintenir les tâches alignées sur les demandes des utilisateurs. Nous renforçons continuellement ces protections à mesure que la technologie et le paysage des menaces évoluent. Nous encourageons les clients à installer les dernières mises à jour, à utiliser plusieurs couches de protection de sécurité, à traiter le contenu provenant de sources inconnues avec prudence et à examiner le contenu généré par l’IA avant de l’utiliser ou de le partager. « 

Nous avons également contacté Måløy, mais nous n’avons pas eu de réponse avant la publication. ®

Mis à jour à 18 h 41 GMT le 29 juillet pour ajouter la déclaration de Microsoft.