Norsk forsker fikk Copilot for Word til å spre angrepet videre selv

En ansatt laster ned en markedsanalyse fra et nettsted som er kompromittert, legger den ved som kilde når Copilot skal skrive kvartalsrapporten, og får tilbake et utkast der alle økonomiske tall er halvert. Nederst i det nye dokumentet ligger angrepet selv, i hvit skrift på hvit bakgrunn i skriftstørrelse 8. Scenariet er hentet fra tredje del av serien «Context Collapse», publisert 28. juli av den norske sikkerhetsforskeren Håkon Måløy.

Teknikken kalles cross-domain prompt injection, forkortet XPIA. Copilot for Word fjerner farge og skriftstørrelse før teksten sendes videre til språkmodellen, så det mennesket ikke ser, leser modellen i klartekst. Instruksjonen i Måløys proof of concept var formatert som JSON og delt i to: én del som endret innholdet, og én del som ba Copilot lime hele instruksjonen inn i det ferdige dokumentet, forkledd som kildesporing.

Andre trinn gjør angrepet til en orm. Når en kollega senere bruker den infiserte rapporten som kilde, utløses angrepet på nytt, og originaldokumentet trenger ikke lenger være til stede. I «Edit with Copilot» i arbeidsmodus må offeret ikke engang legge ved filen selv: Copilot søker gjennom OneDrive og finner den forgiftede analysen på egen hånd.

«Vi har sett massevis av skjult hvit-på-hvit-tekst før, men dette er den første jeg har sett som bevisst kopierer instruksjonene for å replikere seg selv» — Simon Willison, utvikler og KI-skribent

Tidslinjen forklarer hvorfor saken er ubehagelig. Måløy meldte funnet til Microsoft Security Response Center 6. mars, og Microsoft bekreftet oppførselen 31. mars. Første tiltak kom 3. april med den nye «Edit with Copilot»-opplevelsen, som stoppet den opprinnelige ordlyden. En omformulert prompt kom gjennom få dager senere. Andre tiltak, 14. juli, var å oppgradere modellen bak Copilot for Word til GPT-5.5. Måløy reproduserte angrepet dagen etter med GPT-5.6. Koordineringsperioden ble utvidet to ganger, fra 90 til 144 dager, og 28. juli publiserte han uten at angrepsklassen var lukket. Selve nyttelasten holder han tilbake. Ifølge iTnews er dette hans tredje Copilot-funn i år, og det forrige fikk nummeret CVE-2026-55145.

«Å stole på at modellen skal oppdage XPIA-er, ligner på å be en tolk kjøre et ikke-betrodd program for å avgjøre om programmet er trygt å kjøre» — Håkon Måløy, sikkerhetsforsker

Poenget rekker lenger enn Word. Bygger du noe som trekker dokumenter, e-poster, nettsider eller verktøysvar inn i en kontekst, har du samme problem: modellen må lese det ikke-betrodde innholdet for å vurdere om det er trygt, og da har innholdet allerede påvirket svaret. Å sette en modell foran modellen flytter bare grensen ett hakk utover.

Hva bør du gjøre?

1. Behandle eksternt hentede dokumenter som ikke-betrodde når de går inn i en KI-kontekst, også filer fra partnere og kolleger.
2. Les gjennom det modellen har skrevet før du deler det videre, og se spesielt etter tall som har endret seg og tekst uten synlig farge.
3. Lagre proveniens i metadata i egne agenter: hvilke kilder som gikk inn, og hvilke endringer modellen faktisk gjorde.