Robak AI atakuje Worda i przejmuje Copilota

Wyobraź sobie dokument Worda, który zachowuje się jak wirus. Nie potrzebuje załącznika, nie wymaga kliknięcia w podejrzany link. Wystarczy, że użyjesz go jako źródła dla asystenta AI, a ten – nieświadomie – przeniesie ukryte złośliwe instrukcje do kolejnych plików. To nie scenariusz z filmu science fiction, ale realny atak zaprezentowany przez badacza bezpieczeństwa Håkona Måløya.

Måløy udowodnił, że mechanizm prompt injection (wstrzykiwania złośliwych poleceń) w Microsoft Copilot dla Worda potrafi rozprzestrzeniać się samodzielnie, tworząc coś na kształt cyfrowego robaka. Atak wykorzystuje sposób, w jaki model AI przetwarza treść dokumentów – i to, czego ludzkie oko nie jest w stanie dostrzec.

Niewidzialne instrukcje, które widzi AI

Sedno ataku opiera się na prostej, ale podstępnej technice. Osoba atakująca osadza w dokumencie ukryte polecenia, zapisując je białą czcionką na białym tle w mikroskopijnej wielkości. Dla człowieka taki tekst jest całkowicie niewidoczny – wygląda jak pusta kartka. Jednak Copilot, zanim przetworzy zawartość pliku, usuwa informacje o kolorze i rozmiarze czcionki. Dla modelu językowego ukryte instrukcje stają się zwykłą, widoczną treścią.

Kiedy użytkownik wykorzystuje tak przygotowany dokument jako źródło dla asystenta, Copilot wykonuje ukryte polecenia. Najgroźniejsze jest jednak to, że model kopiuje te instrukcje do nowo tworzonego pliku. W ten sposób każdy kolejny dokument, który powstanie na bazie zainfekowanego szablonu, również staje się nosicielem złośliwego kodu. Atak nie wymaga żadnych dodatkowych działań ze strony ofiary – wystarczy standardowa praca z edytorem tekstu.

Łańcuch infekcji w praktyce

Måløy pokazał, jak łatwo taki mechanizm może doprowadzić do skażenia całego ekosystemu dokumentów. Wyobraźmy sobie analizę rynkową pobraną z internetu, która zawiera ukryte polecenia. Jeśli posłuży ona jako podstawa do przygotowania raportu finansowego, Copilot przeniesie do niego złośliwe instrukcje. Taki raport, wysłany dalej i użyty przez kolejną osobę jako szablon, zainfekuje następne pliki. W ten sposób pojedynczy złośliwy dokument może skazić całą sieć wzajemnie powiązanych plików w organizacji.

Konsekwencje mogą być poważne – od manipulowania treścią raportów, przez podmianę danych finansowych, po przechwycenie wrażliwych informacji. Atakujący nie musi mieć bezpośredniego dostępu do systemu. Wystarczy, że opublikuje gdzieś zainfekowany plik i poczeka, aż ktoś go użyje.

Microsoft wie o problemie, ale nie potrafi go naprawić

Firma Microsoft potwierdziła istnienie luki już 31 marca. Mimo to, jak wynika z ustaleń badacza, dwie podjęte próby naprawy nie przyniosły oczekiwanego rezultatu. Po 144 dniach od zgłoszenia Måløy zdecydował się opublikować swoje odkrycia, choć celowo pominął w publikacji samą treść złośliwego payloadu, aby utrudnić potencjalnym atakującym wykorzystanie tej wiedzy.

Sytuacja ta doskonale ilustruje szerszy problem, z którym mierzy się cała branża AI. Prompt injection pozostaje jednym z najtrudniejszych wyzwań w dziedzinie bezpieczeństwa systemów opartych na dużych modelach językowych (LLM). Modele te są projektowane tak, aby wykonywać polecenia zawarte w tekście – i to właśnie ta cecha czyni je podatnymi na manipulacje. Rozróżnienie między poleceniem od użytkownika a treścią pochodzącą z niezaufanego źródła to wciąż nierozwiązany problem.

Co ciekawe, badacz AI Andreas Kirsch żartował niedawno, że chciałby, aby ktoś zbudował właśnie takiego robaka, który przekonałby sceptyków, że zagrożenia związane z bezpieczeństwem AI są realne. Jego życzenie właśnie się spełniło – a wraz z nim pojawiło się pytanie, ile jeszcze podobnych luk czeka na odkrycie.

Opisany atak to nie futurystyczna wizja, lecz działający mechanizm. Dopóki producenci systemów AI nie znajdą skutecznego sposobu na neutralizację prompt injection, każdy dokument może potencjalnie stać się wektorem ataku. To przypomnienie, że w świecie generatywnej sztucznej inteligencji zaufanie do treści musi iść w parze z ostrożnością – nawet jeśli tej treści nie widzimy gołym okiem.