Des attaquants ont utilisé des documents Word comme source pour Copilot qui étaient infectés par des instructions malveillantes.
Un chercheur en sécurité a découvert une nouvelle technique d’attaque permettant à des instructions malveillantes de se propager via Microsoft Copilot pour Word. En intégrant des invites cachées dans un document Word, un attaquant peut manipuler les résultats de Copilot. Ces instructions cachées sont automatiquement transférées vers de nouveaux documents. Selon le chercheur Håkon Måløy, il s’agit de l’un des premiers exemples publics d’un ver IA à propagation autonome au sein d’une suite de productivité commerciale.
Invite cachée dans de nouveaux documents
L’attaque utilise une cross-domain prompt injection : des instructions invisibles sont intégrées dans un document Word, par exemple sous forme de texte blanc. Lorsqu’un utilisateur utilise ce document comme source dans Copilot, l’IA interprète ce texte caché comme des instructions.
Dans sa preuve de concept, Måløy montre comment Copilot modifie ainsi discrètement des chiffres dans un rapport financier et copie l’invite cachée dans le document nouvellement généré. Si ce document est réutilisé par un collègue comme contexte pour Copilot, le processus se répète. Les instructions malveillantes se propagent sans que l’attaquant n’ait à intervenir.
L’attaquant n’a pas besoin d’accès à Microsoft 365
L’attaquant n’a pas besoin d’avoir accès à l’environnement Microsoft 365 de la victime. Il suffit de diffuser un document Word malveillant, par exemple via un site web compromis ou un fichier partagé. Ainsi, l’attaque peut se propager via les processus de travail habituels. Comme chaque nouvelle version du document contient à nouveau les instructions cachées, il devient de plus en plus difficile de retracer la source originale.
Måløy a collaboré avec Microsoft depuis mars pour trouver une solution. Selon lui, Microsoft a pu bloquer sa preuve de concept initiale, mais l’attaque était à nouveau réalisable après une modification de l’invite. En attendant qu’une solution soit disponible, Microsoft conseille de considérer les documents provenant de sources inconnues ou externes comme non fiables et de toujours vérifier soi-même les documents générés par l’IA avant de les partager ou de les traiter davantage.