Badacz odkrył robaka AI w Microsoft Word. Copilot może zainfekować całą firmę

Sztuczna inteligencja miała zwiększać produktywność, przyspieszać pracę i odciążać pracowników od rutynowych zadań. Najnowsze badania pokazują jednak, że asystenci AI mogą stać się także zupełnie nowym wektorem ataku.

Badacz bezpieczeństwa Hakon Maloy ujawnił serię luk dotyczących Microsoft 365 Copilot, Outlooka i Worda. Najbardziej niepokojący scenariusz opisuje samoreplikującego się „robaka AI” (AI worm), który może rozprzestrzeniać się wewnątrz organizacji bez użycia złośliwego oprogramowania.

Według badacza wystarczy dokument Word zawierający niewidoczne instrukcje, aby Copilot zaczął wykonywać polecenia pozostawione przez napastnika. Co gorsza, zainfekowane pliki mogą trafiać do kolejnych pracowników, a ci nieświadomie będą przekazywać zagrożenie dalej.

Atakujący mogą ukrywać polecenia na stronach internetowych, w wiadomościach e-mail lub dokumentach Word, które Copilot może odczytać jako instrukcje. 

Copilot może potraktować ukryte instrukcje jak polecenia użytkownika

Opisane przez Maloya ataki wykorzystują technikę cross-prompt injection. W praktyce oznacza to manipulowanie danymi wejściowymi w taki sposób, aby model AI uznał ukryte polecenia za legalne instrukcje.

Napastnicy mogą umieszczać takie komendy na stronach internetowych, w wiadomościach e-mail albo bezpośrednio w dokumentach Word. Jeśli użytkownik skorzysta z Copilota podczas pracy z taką treścią, asystent AI może odczytać ukryte instrukcje i wykonać je bez wiedzy właściciela konta.

Badacz podkreśla, że ataki nie wymagają przejęcia konta Microsoft, instalowania złośliwego oprogramowania ani zaawansowanych umiejętności technicznych. W wielu przypadkach wystarczy odpowiednio przygotowana treść.

Zatrucie pamięci Copilota

Pierwszy scenariusz dotyczy pamięci Microsoft 365 Copilot. Atakujący może przygotować stronę internetową zawierającą ukryte instrukcje przeznaczone wyłącznie dla modelu AI. Po odwiedzeniu takiej witryny i wykorzystaniu Copilota asystent może zapamiętać część poleceń i uwzględniać je podczas kolejnych sesji.

Oznacza to możliwość długotrwałego wpływania na odpowiedzi generowane przez AI. Użytkownik może nawet nie zdawać sobie sprawy, że wcześniejsza interakcja wpłynęła na późniejsze działanie asystenta.

Outlook i wyciek poufnych danych

Drugi scenariusz obejmuje Outlooka i wiadomości phishingowe. Badacz wykazał, że odpowiednio przygotowany e-mail może zawierać niewidoczne instrukcje interpretowane przez Copilota podczas podsumowywania korespondencji lub generowania odpowiedzi. W efekcie AI może zostać nakłoniona do ujawnienia informacji, których użytkownik nigdy nie zamierzał przekazywać dalej.

Microsoft sklasyfikował zgłoszone problemy jako luki o umiarkowanej wadze i przygotował poprawki ograniczające możliwość wykorzystania tego mechanizmu.

Najgroźniejszy scenariusz dotyczy Worda

To właśnie atak związany z Microsoft Word budzi największe obawy. Maloy opisał metodę polegającą na ukrywaniu instrukcji w białym tekście umieszczonym na białym tle dokumentu. Dla człowieka takie polecenia pozostają praktycznie niewidoczne, jednak Copilot może je odczytać i potraktować jako prawidłowe instrukcje.

Jeśli asystent wykorzysta taki dokument jako źródło podczas edycji lub tworzenia nowych plików, ukryte polecenia mogą zostać automatycznie przeniesione dalej. W ten sposób kolejne dokumenty również stają się nośnikami ataku.

Pracownicy mogą nieświadomie infekować siebie nawzajem

Najbardziej niepokojący element całego scenariusza polega na sposobie rozprzestrzeniania się zagrożenia.

Pracownik korzystający z Copilota może wygenerować dokument zawierający ukryte instrukcje pozostawione przez napastnika. Następnie taki plik zostaje wysłany do współpracownika lub udostępniony w organizacji. Gdy kolejna osoba otworzy dokument i użyje Copilota, jej asystent AI również może zostać „zatruty”.

Proces może powtarzać się wielokrotnie bez aktywnego udziału cyberprzestępcy. Nie ma potrzeby instalowania makr, uruchamiania kodu czy pobierania podejrzanych plików wykonywalnych. Sam dokument oraz interakcja z AI mogą wystarczyć do dalszego rozprzestrzeniania ataku.

Microsoft załatał część problemów

Badacz współpracował z Microsoft Security Response Center oraz zespołami odpowiedzialnymi za rozwój produktów Microsoft 365. Firma wdrożyła już zabezpieczenia chroniące przed lukami dotyczącymi pamięci Copilota oraz wiadomości e-mail.

Według Maloya problem związany z Wordem nadal pozostaje możliwy do wykorzystania. Badacz twierdzi również, że Microsoft dwukrotnie wydłużał okres koordynacji przed publicznym ujawnieniem szczegółów, a cały proces trwa już ponad 140 dni.

Gigant z Redmond nie opublikował jeszcze informacji o pełnym rozwiązaniu dotyczącym scenariusza obejmującego Worda.

AI tworzy zupełnie nową kategorię zagrożeń

Przez lata firmy skupiały się na ochronie przed makrami, złośliwymi załącznikami i lukami umożliwiającymi wykonywanie kodu. Rozwój generatywnej sztucznej inteligencji sprawia, że pojawiają się zupełnie nowe metody ataku.

W przypadku Copilota zagrożeniem nie jest klasyczne złośliwe oprogramowanie. Problemem stają się instrukcje ukryte w zwykłych dokumentach, wiadomościach i stronach internetowych, które model AI interpretuje jako polecenia. To oznacza, że bezpieczeństwo asystentów AI może w najbliższych latach stać się równie ważne jak ochrona systemów operacyjnych i aplikacji biurowych.