يمكن أن تؤدي الإرشادات المخفية في مستند Word إلى قيام Microsoft 365 Copilot بإعادة كتابة الأشكال في التقرير، ثم نسخ نفس الإرشادات في الملف النهائي. كشف Håkon Måløy عن هذه التقنية في 28 يوليو، بعد 144 يومًا من إبلاغ Microsoft بها.
في إثبات المفهوم، أطلق الملف الذي تم إنشاؤه داخليًا نفس السلوك عند استخدامه في جلسة صياغة ثانية لبرنامج Copilot.
يشير الجدول الزمني لـ Måløy إلى أن Microsoft أكدت السلوك الذي تم الإبلاغ عنه في 31 مارس ونشرت عمليتي تخفيف. الأول منعت صياغة المطالبة الأصلية؛ قام الثاني بترقية النموذج الأساسي إلى GPT-5.5.
وقال إن السلسلة الكاملة عملت مع تعليمات معدلة على GPT-5.6 في اليوم التالي، ولا تزال فئة الهجوم تتكرر في 28 يوليو. وقال مالوي: “لذلك تظل فئة الضعف قابلة للاستغلال في وقت النشر”.
لا يتم الهجوم بنقرة صفر ولا يقوم بتنفيذ برامج ضارة تقليدية. ويتطلب ذلك عملية صياغة أو تحرير لـ Copilot، ويجب أن يدخل المستند الضار إلى سياق النموذج كمرفق أو كمصدر OneDrive محدد بواسطة Work IQ، محرك الذكاء وراء Microsoft 365 Copilot.
لم يُبلغ الكشف عن الاستغلال في البرية، وحجب Måløy الحمولة الكاملة. ويوصي بالتعامل مع المستندات الخارجية باعتبارها غير موثوقة، ومراجعة المستندات المرفقة قبل البدء في الإنشاء أو التحرير، والتحقق من الملفات التي تم إنشاؤها أو تحريرها بواسطة Copilot قبل إعادة استخدامها أو مشاركتها.
تمر السلسلة عبر نص المستند وسلوك الصياغة الخاص بمساعد الطيار. يقوم Copilot بقراءة الملفات المصدر لتحديد ما ينتمي إلى المسودة ويمكن أن يخطئ في التعليمات الموجودة داخلها كجزء من طلب المستخدم. وفي إثبات المفهوم، خفضت كل الأرقام المالية إلى النصف، ونسخت المطالبة الكاملة إلى الإخراج بنص أبيض مكون من ثماني نقاط، ولم تكشف عن أي تغيير.
قال مالوي إن برنامج Word يزيل اللون وحجم الخط قبل إرسال نص المستند إلى نموذج اللغة الكبير، مما يترك تعليمات باللون الأبيض على الأبيض واضحة للنموذج. قام جزء من الحمولة بتغيير الوثيقة؛ وطلب الآخر من مساعد الطيار نسخ التعليمات وإخفائها، وتأطير تلك الأوامر كمتطلبات لتتبع المصدر وسهولة القراءة.
تقول Microsoft إن Word يمكنه إنشاء مسودة على ما يصل إلى 20 ملفًا أو رسالة بريد إلكتروني أو اجتماعًا، ويمكن للتحرير باستخدام Copilot استخدام Work IQ. لا يزال التحرير باستخدام Copilot متاحًا في جميع أنحاء العالم للمستخدمين الذين لديهم تراخيص مؤهلة. في اختبار Måløy، بحث Copilot في OneDrive عن تقرير ربع سنوي، وعثر على تحليل السوق الضار خارج المجلد الذي يحتوي على المصادر الأخرى، وقام بإدراجه. لا يزال يتعين على معدل ذكاء العمل الحكم على الملف ذي الصلة.
مع غياب المستند الضار الأصلي وإرفاق تقرير الربع الأول المصاب فقط، قام Copilot بخفض الأرقام إلى النصف في مسودة الربع الثاني وإلحاق المطالبة مرة أخرى. كان الناقل الجديد مستندًا عاديًا تم إنشاؤه داخليًا. لا تنتشر السلسلة من تلقاء نفسها: تتطلب كل قفزة عملية صياغة أو تحرير أخرى لمساعد الطيار حيث يدخل الناقل في سياق النموذج.
التنسيق المخفي هو نقطة الإدخال فقط. بمجرد قيام Copilot بنسخ التعليمات إلى مستند تم إنشاؤه داخليًا، فإن المصدر الأصلي لم يعد موجودًا عندما يدخل هذا الملف إلى الجلسة التالية. يقول مالوي إن هذا الانقطاع في مسار المصدر يجعل من الصعب تتبع التلاعب.
اعتبارًا من تاريخ النشر، لم تجد The Hacker News أي تحذير عام من CVE أو مشورة مستقلة من Microsoft بشأن البحث عن Word في عمليات البحث في NVD وCVE.org ودليل تحديث الأمان من Microsoft. تقول Microsoft إن مصنفات كسر الحماية وهجوم الحقن الفوري (XPIA) تساعد في حظر المطالبات عالية المخاطر، على الرغم من أنها قد لا تكون متاحة في كل سيناريوهات برنامج Copilot.
يضيف Defender لـ Office 365 فحص تدفق البريد للبريد الإلكتروني الوارد. تصف Microsoft ضمانات وقت تشغيل Copilot بأنها تغطي التعليمات المحقونة من المحتوى المؤرض. لم تذكر Microsoft أو Måløy ما إذا كانت هذه الحمولة الدقيقة قد تم اكتشافها في أي من الطبقتين.
وفقًا لمالوي، لا يوجد أي علاج من جانب العميل يعالج المشكلة بشكل كامل. حجته هي أن الكتل الخاصة بالحمولة لا تصل إلى الفئة: يجب على النموذج معالجة المحتوى الذي يتحكم فيه المهاجم لتحديد ما إذا كان ضارًا، وبالتالي “يشارك المحتوى الذي يتم فحصه في عملية التفتيش”.
أوضحت Microsoft نقطة ذات صلة في منشور لها في يونيو حول ذاكرة الذكاء الاصطناعي، حيث كتبت أن “المطالبة وحدها ليست حدودًا أمنية موثوقة” وأنه يجب التحكم في الوصول إلى الذاكرة وعزلها من خلال أنظمة حتمية بدلاً من تعليمات نموذجية.
