W Microsoft Word można zaszyć robaka. Potrafi zrobić duże spustoszenie
Microsoft Word może stać się narzędziem dużego spustoszenia. Popularny edytor tekstów ma lukę, za której pomocą można wywołać chaos w działaniu Copilota.
Wyjątkowo nieprzyjemny i trudny do wykrycia atak
Niezależny badacz zabezpieczeń Håkon Måløy ujawnił, że w programie Microsoft Word można umieścić instrukcje, które następnie destabilizują pracę usługi Microsoft 365 Copilot. Asystent AI może następnie bez ostrzeżenia zmienić dokument, który miał opracowywać, a następnie skopiować te same instrukcje i wprowadzić je w ukończonym pliku. Jeśli taki dokument ma być wysłany dalej - w ten sposób można przenieść ten atak na następną osobę.
Måløy, który jest analitykiem danych i ma doktorat ze stosowanego uczenia maszynowego, opisał ten rodzaj ataku we wpisie z serii Context Collapse. Stamtąd dowiadujemy się, że Norweg utrzymywał kontakt z Microsoftem przez 144 dni po ujawnieniu luki, a gigant w tym czasie z nim ściśle współpracował. Co ciekawe, nadal nie istnieje kompleksowy sposób na zażegnanie tej klasy zagrożenia.
Atak, który wykorzystał Måløy, należy do rodziny znanej jako tzw. cross-domain prompt injection (XPIA). Napastnik wpisuje w dokumencie instrukcje w naturalnym języku, po czym maskuje je jako biały tekst na białym tle, dodatkowo zmniejszając czcionkę do minimum. Problem w tym, że Copilot dla Worda przed przekazaniem tekstu do modelu językowego usuwa całe formatowanie. AI "czyta" więc treści, których człowiek nigdy nie zobaczy na oczy.
Co gorsza, do aktywacji ataku wcale nie trzeba świadomie otwierać złośliwego pliku. Wystarczy, że użytkownik sam dołączy taki dokument do Copilota, albo że asystent w trybie Work IQ przeszuka jego zasoby OneDrive w poszukiwaniu materiałów do pracy. I w ten sposób natrafi na spreparowany plik samodzielnie.
Najbardziej niepokojący jest jednak mechanizm propagacji (czyli rozprzestrzeniania się). Ukryty prompt w demonstracji Måløya składał się z dwóch części. Pierwsza kazała Copilotowi zmodyfikować edytowany dokument. W pokazowym przykładzie asystent zmniejszył o połowę wszystkie liczby w raporcie kwartalnym. Druga część instruowała AI, by skopiowało te same instrukcje do nowo powstałego pliku i ukryło je pod pretekstem "śledzenia źródeł" i "formatowania na potrzeby czytelności". Copilot wykonał oba polecenia, dopisując niewidoczny tekst i nie informując o tym użytkownika ani słowem.
Måløy zgłosił problem do Microsoft Security Response Center 6 marca 2026 roku. Firma potwierdziła istnienie luki 31 marca, a na początku kwietnia wdrożyła pierwszą poprawkę. Był to przebudowany mechanizm Edit with Copilot, który skutecznie blokował oryginalne sformułowanie ataku badacza. Måløy odtworzył jednak atak w tym samym tygodniu, zmieniając tylko treść promptu, co skutkowało otwarciem drugiego zgłoszenia.
Druga poprawka, wprowadzona 14 lipca 2026 r., polegała na aktualizacji modelu do GPT-5.5. Badacz złamał ją już następnego dnia, korzystając z GPT-5.6, po czym sam zaproponował Microsoftowi dodatkowe dwa tygodnie na kolejną próbę naprawy. Mimo to w dniu publikacji raportu cała klasa ataku wciąż działała. Poprawka jest w przygotowaniu, ale luka pozostaje otwarta.
Sam Måløy radzi, by dokumenty pochodzące spoza organizacji traktować w kontakcie z Copilotem jako domyślnie niezaufane, przeglądać załączniki jeszcze przed rozpoczęciem pracy z AI oraz dokładnie sprawdzać efekty jego działania, zanim trafią one dalej. Proponuje też, by generowane dokumenty zawierały metadane pochodzenia - zapis źródeł i wprowadzonych przez model zmian. To nie zapobiegłoby infekcji, ale pozwoliłoby ją później wytropić.
