L'intelligence artificielle était censée accroître la productivité, accélérer le travail et décharger les employés des tâches routinières. Cependant, des recherches récentes montrent que les assistants IA pourraient également devenir une toute nouvelle forme d'attaque. Le chercheur en sécurité Hakon Maloy a révélé une série de vulnérabilités affectant Microsoft 365 Copilot, Outlook et Word. Le scénario le plus préoccupant décrit un « ver informatique » autoréplicatif capable de se propager au sein d'une organisation sans l'utilisation d'un logiciel malveillant. D'après le chercheur, un document Word contenant des instructions invisibles suffit à Copilot pour exécuter les commandes laissées par l'attaquant. Pire encore, les fichiers infectés pourraient être distribués à d'autres employés, qui propageraient ainsi la menace sans le savoir. Les attaques décrites par Maloy utilisent l'injection croisée de commandes. Concrètement, cela consiste à manipuler les données d'entrée pour que le modèle d'IA interprète des commandes cachées comme des instructions légitimes. Les attaquants peuvent insérer de telles commandes sur des sites web, dans des courriels ou directement dans des documents Word. Si un utilisateur utilise Copilot lorsqu'il travaille avec ce type de contenu, l'assistant IA peut lire les instructions cachées et les exécuter à l'insu du propriétaire du compte. Le chercheur souligne que les attaques ne nécessitent ni la prise de contrôle d'un compte Microsoft, ni l'installation de logiciels malveillants, ni des compétences techniques avancées. Dans de nombreux cas, un contenu soigneusement conçu suffit.

Le premier scénario concerne Microsoft 365 Copilot. Un attaquant pourrait créer un site web contenant des instructions cachées destinées exclusivement au modèle d'IA. Après avoir visité ce site et utilisé Copilot, l'assistant pourrait mémoriser certaines commandes et les intégrer lors de sessions ultérieures. Cela signifie qu'il est possible d'influencer les réponses générées par l'IA au fil du temps. Les utilisateurs peuvent même ne pas se rendre compte qu'une interaction précédente a influencé les actions ultérieures de l'assistant. Le second scénario concerne Outlook et les courriels d'hameçonnage. Le chercheur a démontré qu'un courriel soigneusement conçu peut contenir des instructions invisibles interprétées par Copilot lors du résumé de la correspondance ou de la génération d'une réponse. De ce fait, l'IA peut être amenée à divulguer des informations que l'utilisateur n'a jamais eu l'intention de partager. Microsoft a classé les problèmes signalés comme des vulnérabilités de gravité modérée et a préparé des correctifs pour limiter la possibilité d'exploiter ce mécanisme. C’est l’attaque ciblant Microsoft Word qui est la plus préoccupante. Maloy a décrit une méthode consistant à dissimuler des instructions en blanc sur un fond blanc. Bien que ces instructions soient pratiquement invisibles pour l’œil humain, Copilot peut les lire et les interpréter comme des instructions légitimes. Si l'assistant utilise un tel document comme source lors de la modification ou de la création de nouveaux fichiers, des commandes cachées peuvent être automatiquement transférées. De cette manière, les documents créés ultérieurement deviennent également des vecteurs d'attaque.

L'élément le plus inquiétant de toute cette situation réside dans la manière dont la menace se propage. Un employé utilisant Copilot peut générer un document contenant des instructions cachées laissées par un attaquant. Ce fichier est ensuite envoyé à un collègue ou partagé au sein de l'organisation. Lorsqu'une autre personne ouvre le document et utilise Copilot, son assistant IA peut également être infecté. Le processus peut être répété à maintes reprises sans intervention active du cybercriminel. Il n'est pas nécessaire d'installer de macros, d'exécuter du code ou de télécharger des fichiers exécutables suspects. Le document lui-même et l'interaction avec l'IA suffisent à propager l'attaque.

Le chercheur a collaboré avec le Centre de réponse aux incidents de sécurité de Microsoft et les équipes de développement des produits Microsoft 365. L'entreprise a déjà mis en œuvre des mesures de sécurité pour se protéger contre les vulnérabilités liées à la mémoire et à la messagerie de Copilot. D'après Maloy, la faille de Word reste exploitable. Il affirme également que Microsoft a prolongé à deux reprises le délai de coordination avant de divulguer publiquement les détails, et que le processus dure désormais depuis plus de 140 jours. Le géant de Redmond n'a pas encore communiqué d'informations concernant une solution complète pour le scénario Word.