A biztonsági kutató Håkon Måløy egy új típusú promptinjekciós támadást mutatott be, amely lehetővé teszi, hogy rejtett utasítások önreplikáló „féregként” terjedjenek Microsoft Copilot for Word által kezelt dokumentumok között.
A módszer lényege
- A támadó egy dokumentumba rejtett utasításokat helyez el (például fehér háttéren fehér szövegként vagy más rejtett formában).
- Ha a dokumentumot forrásanyagként használják egy Copilot for Word által segített munkafolyamatban, a Copilot azt a felhasználói kérés részének értelmezheti, és ennek megfelelően módosíthatja a szerkesztett dokumentumot.
- A Copilot a szerkesztett kimenetben átmásolhatja a rejtett utasításokat, így a végeredmény egy új „hordozó” dokumentummá válik.
- Ha ezt az új hordozót később egy másik Copilot-asszisztált munkamenetben használják, az utasítások ismét aktiválódhatnak és továbbterjedhetnek további dokumentumokba, anélkül hogy az eredeti támadó dokumentuma jelen lenne.
Miért jelent ez újdonságot
Bár a rejtett, például fehér alapon fehér szöveg alkalmazását korábban is látták (például állásjelentkezésekben), ez az eset az első ismert példa arra, hogy a rejtett utasítások kifejezetten úgy vannak kialakítva, hogy a Copilot átmásolja őket és önreplikáló módon terjedjenek.
Felelős bejelentés és jelenlegi állapot
A problémát felelősségteljesen bejelentették a Microsoftnak, amely ezután 144 napot kapott a javítás kidolgozására. A nyilvános beszámoló szerint eddig nem áll rendelkezésre olyan átfogó megoldás, amely a támadás teljes osztályát lefedi.
Következmények
Ez a fajta támadás különösen problémás lehet olyan környezetekben, ahol dokumentumok széles körben oszlanak meg és Copilot-szerű eszközökkel sokszor használják fel őket forrásanyagnak. A technika kiemeli azt a kockázatot, hogy a generatív asszisztensek hogyan értelmezhetnek beágyazott, nem látható utasításokat, és hogyan képesek azok automatikusan továbbterjedni.
További megjegyzés
A felfedezést közösségi helyeken, például a Hacker News-on is megvitatták. A probléma megoldása várhatóan összetett, mert a mitigációknak a Copilot viselkedésének széles körű változtatására és a dokumentumkezelési gyakorlatok átgondolására lehet szükségük.
