Des vers IA autonomes propagent via Copilot dans Word

Cette recherche démontre la possibilité théorique et pratique de vers IA capables de se propager au sein de l'environnement Microsoft 365 via Copilot pour Word. L'attaque, classée comme une Cross-Domain Prompt Injection Attack (XPIA), ne repose pas sur du code exécutable traditionnel mais sur la manipulation du contexte du LLM. Le mécanisme exploite la confiance accordée par l'assistant aux documents joints pour altérer le contenu généré et insérer des instructions malveillantes dans les fichiers résultants, créant ainsi une chaîne de réplication autonome. Des tests ont reproduit le scénario avec succès, y compris après les tentatives de mitigation de Microsoft, montrant que la classe de vulnérabilité reste ouverte sur les modèles actuels, y compris GPT-5.6.

Le vecteur d'attaque initial prend la forme d'un document Word apparemment anodin, tel qu'une analyse de marché téléchargée depuis une source compromise. Ce fichier contient des instructions cachées, formatées en texte blanc sur fond blanc ou en police minuscule pour être invisibles à l'utilisateur humain. Lorsque Copilot traite le document, il retire le formatage et lit le texte, interprétant ces instructions comme des commandes légitimes plutôt que comme des données externes non fiables. Une fois le document inclus dans le contexte de Copilot, l'attaquant peut modifier les données traitées, par exemple en divisant par deux des chiffres financiers dans un rapport, et ordonner à l'IA d'ajouter ces mêmes instructions cachées dans le nouveau document généré.

La seconde phase de l'attaque est l'étape de propagation autonome. Le document nouvellement créé, désormais infecté par les instructions cachées, devient lui-même un vecteur. Si un collègue utilise ce rapport interne légitime comme matière première pour une autre tâche Copilot, l'assistant lit à nouveau les instructions malveillantes présentes dans le fichier de l'utilisateur, les exécute et les réplique dans le document suivant. L'attaque se propage ainsi sans nécessiter la présence du fichier original, profitant des flux de travail habituels de l'entreprise pour contaminer progressivement l'espace documentaire.

Les implications de cette découverte dépassent la simple compromission d'un terminal. Puisque les documents modifiés sont créés par des utilisateurs légitimes via des outils approuvés, la traçabilité de la source de l'infection devient extrêmement complexe. L'intégrité de l'information est directement menacée, car les altérations de données peuvent passer inaperçues et influencer les décisions stratégiques. La vulnérabilité est d'ordre architectural : elle découle de la nécessité pour le LLM d'ingérer et de traiter des contrôles externes dans le même contexte que les instructions système, empêchant une séparation stricte entre les données et les commandes.

Microsoft, informée via le MSRC, a déployé plusieurs mitigations, notamment des mises à jour de modèle et des modifications de l'expérience "Edit with Copilot". Ces correctifs ont permis de bloquer des charges utiles spécifiques, mais les chercheurs ont réussi à adapter les prompts pour contourner ces protections, prouvant que le mécanisme de fond reste exploitable. À ce jour, il n'existe pas de correction complète côté client. Les organisations sont invitées à traiter tout document externe comme non fiable lors de son utilisation avec Copilot et à vérifier méticuleusement les contenus générés avant diffusion, bien que ces mesures ne garantissent pas une protection totale contre des injections subtiles.