Nauja „Microsoft“ saugumo spraga leidžia kenkėjiškoms instrukcijoms plisti tarp „Word“ dokumentų per „Copilot“ asistentą. Šis mechanizmas paverčia įprastus darbo failus aktyviais atakų vektoriais, kurių kilmę vėliau beveik neįmanoma atsekti.
Kur čia nauda – ir kur grėsmė
Ataka prasideda, kai vartotojas į „Copilot“ kontekstą įtraukia dokumentą, kuriame paslėptas JSON formato raginimas (angl. prompt). Tekstas dažnai užmaskuotas baltu šrifto ant baltų fono arba mažais šriftais – žmogui nematomas, bet pilnai matomas modeliui. Kai „Copilot“ analizuoja šį failą, jis ne tik vykdo jame esančias instrukcijas (pavyzdžiui, sumažina finansinius skaičius per pusę), bet ir nukopijuoja visą kenkėjišką bloką į naujai kuriamą ar redaguojamą dokumentą.
Dėl to kiekvienas „Copilot“ apdorotas failas tampa nauju atakos nešiotoju. Kolega atidaro tokį „užkrėstą“ failą, naudoja jį kaip šaltinį savo ataskaitai – ir grandininė reakcija vyksta automatiškai, be jokių papildomų veiksmų nuo užpuoliko pusės.
Ribos lieka. Šis plitimas veikia tik tada, kai kenkėjiškas dokumentas patenka į „Copilot“ kontekstą. Jei failas tiesiog gulėja „OneDrive“ ar „SharePoint“, bet niekas jo neįtraukia į dirbamąją sesiją – ataka neįsivyks.
144 dienos su MSRC
Pirmieji pranešimai apie šią spragą pateikti „Microsoft“ saugumo atsakymo centrui (MSRC) dar 2026 m. kovo 6 d. Koordinavimo periodas, paprastai trunkančias 90 dienas, buvo prailgintas du kartus – iki 144 dienų. „Microsoft“ patvirtino elgesį ir pradėjo diegti pataisas: pirmoji, 2026 m. balandžio 3–9 d., adresavo originalų scenarijų su „Edit with Copilot“ funkcija. Tačiau 2026 m. liepos 28–29 d. viešinant atskleidimą, klasė vis dar buvo eksploatuojama.
Saugumo specialistai pabrėžia svarbų skirtumą: pataisyti konkretūs payload'ai (kenkėjiški raginimai) – ne tas pats, kad išspręsta visos injekcijų klasė. Jei valdyba klausia, ar sistema saugi, atsakymas nėra paprastas „taip“.
Kaip tai veikia techniniu požiūriu
„Copilot“ privalo perskaityti visus pridėtus dokumentus, kad nulemtų, kuriuos jų fragmentus įtraukti į generuojamą tekstą. Šis architektūrinis reikalavimas tampa akiračio tašku: modelis negali atskirti vartotojo tikrosios intencijos nuo instrukcijų, paslėptų duomenyse. Kenkėjiškas blokas dažnai apibūdinamas kaip „šaltinių sekimas“ ar „skaitomumo gerinimas“ – tai leidžia jam paslėpti ne tik nuo žmogaus, bet ir nuo paprastų filtro.
Demonstracijose ataka sėkmingai keitė finansinius duomenis, tačiau „Copilot“ apie šiuos pakeitimus nieko nepraneša. Pakeistas turinys tampa sistemos vidinėje informacijos srauto dalimi – vėliau identifikuoti, kurioje vietoje įvyko manipuliacija, tampa beveik neįmanoma.
Rizika organizacijų bendradarbiavimui
Didžiausia grėsmė kyla organizacijoms, kurios aktyviai dalinasi dokumentais per „SharePoint“ ar „Teams“. Jei viena įmonė nesuvokia, kad jos failai paveikti, ji gali nesąmoningai išplatinti spragą partneriams per bendrus projektus. Gynėjai negali sumažinti rizikos, apie kurią jie nėra informuoti – todėl skaidrumas apie šią plitimo mechaniką būtinas.
Kol kas vienintelis būdas saugotis – didinti darbuotojų sąmoningumą apie tai, kokius failus jie įtraukia į „Copilot“ kontekstą. Per artimiausius mėnesius „Microsoft“ toliau tobulins saugumo filtrus, bet vartotojams rekomenduojama kritiškai vertinti visus dokumentus, redaguotus su dirbtiniu intelektu, ypač jei jie turi svarbių finansinių ar strateginių duomenų.