آسیب‌پذیری مایکروسافت‌کوپایلت (Microsoft Copilot) می‌تواند به مهاجمان اجازه دهد دستورالعمل‌های پنهان‌شده (Hidden Instructions)در اسناد ورد (Word) را وارد فرآیند پردازش مایکروسافت 365 کوپایلت کنند و بدون اطلاع کاربر، محتوای گزارش‌ها را تغییر دهند. بررسی این تکنیک نشان می‌دهد آسیب‌پذیری مایکروسافت‌کوپایلت امکان انتقال دستورالعمل‌های مخفی به اسناد جدید تولیدشده توسط کوپایلت را فراهم می‌کند؛ در نتیجه، همان فایل می‌تواند در یک نشست بعدی به‌عنوان منبع داخلی وارد فرآیند پردازش شود و پرامپت‌های مخفی را دوباره در اختیار کوپایلت قرار دهد. این حمله که در قالب یک نمونه اثبات مفهوم (PoC) ارائه شده است، نشان می‌دهد اسناد ظاهراً عادی می‌توانند به بستری برای تزریق پرامپت‌های مخرب به مدل‌های هوش مصنوعی تبدیل شوند و فرآیند تولید و ویرایش اسناد را تحت تأثیر قرار دهند.
اقدامات کاهش ریسک نتوانست آسیب‌پذیری مایکروسافت‌کوپایلت را برطرف کند
یک پژوهشگر امنیتی به نام هاکون مالوی (Håkon Måløy)، تکنیکی را شناسایی کرد که به کوپایلت اجازه می‌دهد پرامپت‌های پنهان‌شده در اسناد را به فایل‌های جدید منتقل کند. او پس از گزارش این موضوع به مایکروسافت، 144 روز بعد جزئیات یافته خود را منتشر کرد. مالوی در نمونه اثبات مفهوم (PoC) خود نشان داد فایلی که توسط کوپایلت تولید شده است، می‌تواند در یک نشست بعدی تولید پیش‌نویس (Drafting) همان عملکرد را مجدداً تکرار کند. به این ترتیب، پرامپت‌های پنهان‌شده پس از انتقال به یک سند جدید، می‌توانند در فرآیندهای بعدی استفاده از کوپایلت نیز دوباره وارد چرخه پردازش شوند.
بر اساس جدول زمانی (Timeline) ارائه‌شده توسط مالوی، مایکروسافت در 31 مارس این ضعف گزارش‌شده را تأیید کرد و دو اقدام کاهش ریسک (Mitigation) برای محدود کردن آن اجرا نمود. در نخستین اقدام، عبارت اولیه پرامپت مورد استفاده در حمله مسدود شد و در اقدام دوم، مدل پایه به GPT-5.5 ارتقا پیدا کرد.
با این حال، اقدامات انجام‌شده نتوانستند مانع بازتولید کامل این حمله شوند. مالوی اعلام کرد که یک روز بعد، نسخه تغییر‌یافته‌ای از این حمله با استفاده از دستورهای جدید روی GPT-5.6 نیز با موفقیت اجرا شد و این تکنیک در 28 جولای همچنان قابل بازتولید بود. به گفته او، آسیب‌پذیری مایکروسافت‌کوپایلت در زمان انتشار یافته‌ها همچنان امکان سوءاستفاده را فراهم می‌کرد.
شرایط اجرای حمله
این حمله در دسته حملات بدون کلیک یا بدون تعامل کاربر (Zero-Click) قرار نمی‌گیرد و برخلاف حملات مبتنی بر بدافزارهای سنتی، قابلیت اجرای مستقیم کد مخرب را ندارد. برای فعال شدن زنجیره حمله، کاربر باید یک فرآیند تولید پیش‌نویس یا ویرایش را در کوپایلت آغاز کند. همچنین، سند مخرب باید به‌عنوان فایل پیوست یا یکی از منابع OneDrive که توسط موتور هوشمند Work IQدر مایکروسافت 365 کوپایلت انتخاب می‌شود، وارد کانتکست (Context) مدل شود.
در چنین شرایطی، آسیب‌پذیری مایکروسافت‌کوپایلت می‌تواند امکان انتقال پرامپت‌های پنهان و ادامه زنجیره دستکاری در کانتکست مدل را فراهم کند. با این حال، تاکنون هیچ گزارشی از سوءاستفاده واقعی از این تکنیک در محیط‌های عملیاتی منتشر نشده است و مالوی نیز پیلود کامل حمله را منتشر نکرده است.
مالوی توصیه می‌کند سازمان‌ها اسناد دریافت‌شده از منابع خارجی را غیرقابل اعتماد در نظر بگیرند، پیش از آغاز فرآیند تولید یا ویرایش محتوا، فایل‌های پیوست را بررسی کنند و فایل‌هایی را که توسط کوپایلت ایجاد یا ویرایش شده‌اند، قبل از استفاده مجدد یا اشتراک‌گذاری به‌دقت بازبینی نمایند.
چگونه آسیب‌پذیری مایکروسافت‌کوپایلت دستورالعمل‌های پنهان را پردازش می‌کند
زنجیره حمله از طریق متن موجود در سند و نحوه عملکرد کوپایلت در فرآیند تولید پیش‌نویس آغاز می‌شود. کوپایلت برای تعیین محتوای مناسب در یک پیش‌نویس، فایل‌های منبع را بررسی می‌کند؛ اما ممکن است دستورالعمل‌های پنهان‌شده در این فایل‌ها را به‌عنوان بخشی از درخواست کاربر تفسیر کند.
در نمونه اثبات مفهوم (PoC)، کوپایلت مقدار تمام ارقام مالی درج‌شده در گزارش را نصف کرد و سپس متن کامل پرامپت را با رنگ سفید و اندازه فونت هشت در خروجی نهایی قرار داد؛ بدون آنکه کاربر را از این تغییرات مطلع کند. این آزمایش نشان داد آسیب‌پذیری مایکروسافت‌کوپایلت تنها به دستکاری محتوای اسناد محدود نمی‌شود و می‌تواند صحت اطلاعات تولیدشده توسط کوپایلت را نیز تحت تأثیر قرار دهد.
مالوی توضیح داد که ورد پیش از ارسال متن سند به مدل زبانی بزرگ (LLM)، رنگ و اندازه فونت را از متن حذف می‌کند. در نتیجه، دستورالعمل‌های سفیدرنگ که روی پس‌زمینه سفید قرار گرفته‌اند، همچنان برای مدل قابل مشاهده و پردازش هستند.
به گفته مالوی، بخشی از پیلود برای تغییر محتوای سند طراحی شده بود و بخش دیگر شامل دستورالعمل‌هایی بود که از کوپایلت می‌خواست پرامپت مخفی را کپی و پنهان کند. این دستورالعمل‌ها طوری تنظیم شده بودند که در ظاهر، بخشی از الزامات مربوط به ردیابی منابع و خوانایی به نظر برسند و به این ترتیب، ماهیت مخرب خود را پنهان کنند.
انتقال پرامپت مخفی به یک سند داخلی
مایکروسافت اعلام کرده است که ورد می‌تواند برای تهیه یک پیش‌نویس، اطلاعات موردنیاز را از حداکثر 20 فایل، ایمیل یا جلسه دریافت کند. قابلیت ویرایش با کوپایلت نیز می‌تواند از موتور هوشمند Work IQ برای شناسایی منابع مرتبط استفاده کند. مایکروسافت هنوز در حال عرضه تدریجی این قابلیت برای کاربران دارای مجوزهای لازم در سراسر جهان است.
در آزمایش مالوی، کوپایلت برای پیدا کردن یک گزارش فصلی در OneDrive جست‌وجو کرد. در جریان این جست‌وجو، فایلی حاوی یک تحلیل بازار آلوده(malicious market) را پیدا کرد که خارج از پوشه منابع اصلی قرار داشت. کوپایلت این فایل را نیز در میان منابع مورد استفاده خود قرار داد؛ البته Work IQ ابتدا باید مرتبط بودن آن با درخواست کاربر را تأیید می‌کرد. در این شرایط، آسیب‌پذیری مایکروسافت‌کوپایلت می‌تواند با وارد شدن فایل مخرب به کانتکست مدل، زمینه ادامه زنجیره حمله را فراهم کند.
در ادامه آزمایش، سند مخرب اولیه دیگر در اختیار کوپایلت قرار نگرفت و تنها گزارش آلوده سه‌ماهه اول (Q1) به آن ارائه شد. با این حال، کوپایلت در پیش‌نویس گزارش سه‌ماهه دوم (Q2)، ارقام مالی را به نصف کاهش داد و همان پرامپت را نیز دوباره به خروجی اضافه کرد.
فایل جدید در ظاهر یک سند عادی و تولیدشده در داخل سازمان بود، اما در عمل می‌توانست پرامپت مخفی را به نشست بعدی منتقل کند. با این حال، زنجیره حمله به‌صورت خودکار ادامه پیدا نمی‌کند و برای هر مرحله، باید یک عملیات جدید تولید پیش‌نویس یا ویرایش در کوپایلت انجام شود. به بیان دیگر، فایل تولیدشده باید در یک نشست جدید دوباره وارد کانتکست مدل شود تا زنجیره حمله ادامه پیدا کند.
مالوی معتقد است پنهان کردن دستورالعمل‌ها در قالب ظاهری متن، تنها نقطه شروع حمله است. پس از اینکه کوپایلت این دستورالعمل‌ها را به یک سند داخلی جدید منتقل می‌کند، دیگر سند مخرب اولیه در فایل جدید وجود ندارد. در نتیجه، وقتی سند جدید در نشست بعدی وارد کانتکست مدل می‌شود، ارتباط آن با فایل مخرب اولیه دیگر قابل مشاهده نیست.
به گفته مالوی، از بین رفتن این ارتباط می‌تواند شناسایی و ردیابی تغییرات مخرب را دشوارتر کند؛ زیرا فایل جدید در ظاهر یک سند داخلی و عادی است و دیگر نشانه مستقیمی از منبع اولیه دستورالعمل‌های مخرب در آن باقی نمی‌ماند.
وضعیت شناسایی و سازوکارهای دفاعی
تا زمان انتشار گزارش، هیچ شناسه آسیب‌پذیری عمومی (CVE) یا هشدار امنیتی مستقلی برای این یافته در پایگاه‌های NVD، CVE.org یا راهنمای به‌روزرسانی امنیتی مایکروسافت منتشر نشده است.
مایکروسافت اعلام کرده است که از طبقه‌بندهای تشخیص جیل‌بریک (Jailbreak) و حملات تزریق بین پرامپتی (Cross-Prompt Injection Attack یا XPIA) برای شناسایی و مسدود کردن پرامپت‌های دارای ریسک امنیتی استفاده می‌کند. با این حال، این سازوکارهای دفاعی ممکن است در همه سناریوهای استفاده از کوپایلت در دسترس نباشند. بنابراین، آسیب‌پذیری مایکروسافت‌کوپایلت لزوماً در تمام شرایط تحت پوشش این لایه‌های دفاعی قرار نمی‌گیرد.
همچنین دیفندر برای آفیس 365 (Defender for Office 365) قابلیت بررسی جریان ایمیل‌های ورودی را برای شناسایی و مقابله با حملات تزریق پرامپت فراهم می‌کند. مایکروسافت سازوکارهای حفاظتی زمان اجرای کوپایلت را نیز برای مقابله با دستورالعمل‌های تزریق‌شده از محتوای مورد استفاده برای تولید پاسخ در نظر گرفته است. با این حال، مایکروسافت و مالوی مشخص نکرده‌اند که آیا این پیلود توسط این دو لایه دفاعی شناسایی می‌شود یا خیر.
محدودیت راهکارهای دفاعی در برابر این حمله
به گفته مالوی، هیچ راهکاری در سمت کاربر یا سازمان نمی‌تواند آسیب‌پذیری مایکروسافت‌کوپایلت را به‌طور کامل برطرف کند. از نظر او، مسدود کردن پیلودهای مشخص فقط می‌تواند با نمونه‌های شناخته‌شده مقابله کند و برای رفع ریشه‌ای این دسته از حملات کافی نیست؛ زیرا مدل برای تشخیص مخرب بودن محتوا، ناچار است ابتدا همان محتوایی را پردازش کند که مهاجم در اختیار آن قرار داده است. به بیان ساده، محتوایی که باید بررسی شود، خودش بخشی از فرآیند تشخیص است.
مایکروسافت تأکید کرده است که پرامپت به‌تنهایی نمی‌تواند یک مرز امنیتی قابل اتکا (Security Boundary) ایجاد کند. به همین دلیل، کنترل دسترسی به حافظه و ایزوله‌سازی آن باید به‌جای دستورالعمل‌های مدل، به سازوکارهای قطعی سپرده شود.
