Un chercheur a révélé l'existence d'un nouveau ver piloté par l'IA et capable de se propager de manière autonome via Microsoft Copilot pour Word. Un attaquant peut dissimuler des instructions malveillantes dans un document texte pour manipuler les sorties de Copilot et infecter de nouveaux fichiers. Cette faille d'injection de prompt transforme texte chaque document généré en un vecteur d'attaque indétectable pour l'utilisateur, facilitant une diffusion virale au sein des réseaux d'entreprises. Microsoft a tenté de corriger la faille, mais le problème réside dans l'architecture même des modèles de langage, qui peinent à distinguer les données des instructions. Copilot est un assistant d’IA développé par Microsoft. Il fonctionne comme un compagnon d’IA générative capable de répondre à des questions, de résumer du texte, de générer des images et d’automatiser des tâches routinières sur le Web et dans vos applications de bureau. Depuis le lancement de Copilot, Microsoft n’a cessé d’insister sur son potentiel à transformer la productivité : assistance dans Outlook, pilotage de réunions dans Teams, etc.
Cependant, dans la pratique, le constat est sans appel : Copilot ne fonctionne pas. L'assistant tant vanté par Microsoft est jugé peu fiable, inefficace et enclin à générer des contenus fictifs. Les utilisateurs se plaignent constamment. Par ailleurs, Copilot possède de nombreuses couches de garde-fous jugés lourds qui réécrivent, bloquent ou altèrent les réponses. Copilot serait optimisé pour la facilité d'utilisation générale plutôt que pour la précision.
Récemment, le chercheur Håkon Måløy a mis au jour une faille de sécurité critique dans Copilot pour Word, rendant possible la création d'un ver informatique basé sur l'IA. Il met en garde les utilisateurs de Word contre les documents non fiables, qui peuvent cacher des instructions malveillantes.
Découverte d'une vulnérabilité critique dans l'IA Copilot
Håkon Måløy, un scientifique des données norvégien titulaire d’un doctorat en IA appliquée et en apprentissage automatique, a rendu cette faille publique le 28 juillet 2026. Håkon Måløy décrit le problème de manière très détaillée tout en ne divulguant pas la charge utile spécifique de la commande. En l'absence de solution de protection efficace, le chercheur a déclaré qu'il serait irresponsable de révéler quoi que ce soit au-delà de la nature de la vulnérabilité.
Il existe déjà des exemples de vers IA. Notamment, le ver Morris II a démontré la propagation autoréplicative de prompts dans des écosystèmes d’assistants de messagerie alimentés par l’IA générative. « Mais à ma connaissance, il s’agit de l’une des premières démonstrations publiques d’autopropagation d’un ver IA véhiculé par des documents via des flux de travail normaux dans une suite bureautique commerciale grand public », a-t-il déclaré.
Selon son rapport, un pirate informatique peut dissimuler des instructions malveillantes dans un document Word qui, une fois intégrées dans le contexte de Copilot pour Word, peuvent modifier le résultat final du document et copier ces instructions dans des fichiers nouvellement créés utilisant le document affecté comme source, sans que la victime s’en aperçoive. Ce comportement facilite une diffusion virale dans les réseaux d'entreprises.
Cette découverte intervient alors que Copilot suscite déjà une vive controverse et un rejet massif. Copilot n'a jamais réussi à convaincre, car l'assistant IA affiche des performances largement en deçà des performances de ses rivaux. Au lieu de cela, Microsoft a forcé la main à ses utilisateurs en intégrant Copilot dans tous les recoins de son écosystème. « Génial ! On se retrouve désormais avec un Copilot invasif et dangereux », a écrit un commentateur.
Le mécanisme de l'attaque et sa propagation fulgurante
Comme l'explique le rapport de Håkon Måløy, cette faille critique repose sur des attaques par injection de requêtes interdomaines (XPIA), où un pirate dissimule des instructions malveillantes dans un document, par exemple en utilisant une petite police de texte blanc sur un fond blanc. Le chercheur a expliqué le fonctionnement de ce ver IA à l’aide d’un exemple mettant en scène un employé préparant un rapport financier pour son entreprise.
L’employé télécharge une analyse de marché depuis un site Web de confiance afin de l’aider à préparer un rapport financier dans Copilot, sans se douter que la source a été compromise et que le document qu’il a téléchargé contient des instructions malveillantes cachées. Ces instructions cachées ordonnent à Copilot de modifier les chiffres du rapport généré par l’employé et de copier le ver dans le rapport qu’il crée avec l'assistant IA de Microsoft.
Si un autre employé ajoute par la suite ce rapport à son propre travail, tout le processus recommence, et les documents générés à partir de celui-ci contiennent également le ver. À mesure qu’il se propage, il devient extrêmement difficile de remonter à la source de l’infection. « L’attaque peut donc se poursuivre sans autre intervention de la part du site Web compromis ou du document malveillant d’origine », explique Håkon Måløy dans son rapport.
« L’attaquant n’a pas besoin d’accéder au tenant Microsoft 365 de la victime. Il lui suffit de partager un document malveillant avec celle-ci ». Copilot devrait exploiter les informations contenues dans les documents qu'un utilisateur intègre dans le contexte d'un projet, sans considérer les instructions intégrées dans un document comme des invites supplémentaires, mais les recherches de Håkon Måløy ont révélé que « ce n'est pas toujours le cas ».
Un défaut architectural fondamental des modèles d'IA
Håkon Måløy collaborait avec Microsoft depuis mars 2026 pour remédier à cette faille, mais après plusieurs mises à jour de Copilot, ce nouveau type de ver Copilot restait toujours opérationnel. Microsoft a atténué l’exploit démontré par son instruction de preuve de concept initiale, mais selon le chercheur, la reformulation de la charge utile lui avait permis de propager avec succès le ver et de modifier des données financières dans un document cible.
Håkon Måløy affirme avoir mis au jour un nouveau type d’attaque par injection de requêtes interdomaines (XPIA) qui exploite un élément fondamental de l’architecture moderne des grands modèles de langage (LLM). Ce n'est pas la première fois que l'architecture des modèles d'IA est remise en cause.
Envoyé par Håkon Måløy
Pour que les assistants IA soient utiles, ils doivent souvent traiter des e-mails, des documents, des pages Web, des souvenirs, des résultats d’outils et d’autres informations susceptibles d’être contrôlées par un attaquant. Compter sur le modèle pour détecter les XPIA revient donc à demander à un interpréteur d’exécuter un programme non fiable afin de déterminer si ce programme peut être exécuté en toute sécurité.
Si Microsoft ou une autre entreprise venait à intercaler un autre modèle devant ce modèle pour vérifier la présence de contenu malveillant, cela ne ferait que déplacer le problème vers l’extérieur, créant ainsi un scénario de « LLM à tous les niveaux ».
Le défi à long terme réside probablement dans la conception de systèmes dans lesquels les objectifs et les intentions existent également indépendamment des informations traitées. D’ici là, tout système intégrant aujourd’hui un LLM dans un flux de travail fiable doit partir du principe que le contenu contrôlé par un attaquant entrant dans le contexte du modèle entraînera une compromission à un certain taux.
Les conséquences à long terme et les recommandations
L'intégration croissante de ces assistants IA dans les environnements professionnels transforme l'intégrité de l'information en un enjeu de sécurité prioritaire. En l'absence de correctif technique définitif, la prévention repose uniquement sur la vigilance humaine. « Aucune mesure corrective du côté du client ne résout entièrement le problème à la date de publication », a déclaré Håkon Måløy, mais il a néanmoins quelques recommandations à faire.
Le chercheur recommande de considérer tout document provenant d'une source externe comme non fiable lorsqu’on les utilise dans Copilot, d’examiner minutieusement chaque document avant de l’envoyer à Copilot, et de relire attentivement tout document généré ou modifié par Copilot avant de le diffuser.
Microsoft affirme avoir examiné les conclusions du chercheur et le remercie d'avoir collaboré avec eux via une divulgation coordonnée. Pour contrer cette catégorie de risques, Microsoft explique utiliser une « stratégie de défense en profondeur », avec des mesures de sécurité visant à bloquer les instructions malveillantes à plusieurs niveaux...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.