144 jours de coordination avec Microsoft, deux tentatives de correctif, une mise à niveau du modèle IA sous-jacent. Et l’attaque fonctionne toujours.

Håkon Måløy, chercheur indépendant en sécurité, a publié le 28 juillet 2026 les conclusions de plusieurs mois d’investigation sur Copilot for Word. Dans une série de billets techniques, il documente une injection de prompt, où des instructions malveillantes sont glissées dans un document pour détourner le comportement de l’assistant IA.

Ce troisième volet va plus loin que les précédents : il montre que l’attaque peut se reproduire d’elle-même, sans action supplémentaire de l’attaquant.

Comment le piège se propage de fichier en fichier

Le mécanisme repose sur une propriété de Copilot for Word : lorsqu’un utilisateur rédige un document en s’appuyant sur des fichiers sources, l’assistant lit et intègre leur contenu dans son contexte. C’est là que l’attaque s’insère.

Un attaquant prépare un document Word contenant des instructions malveillantes rédigées en texte blanc sur fond blanc — invisibles à l’œil, mais parfaitement lisibles par le modèle, qui ne tient pas compte de la mise en forme. Si ce fichier est utilisé comme source dans une session Copilot, les instructions s’exécutent silencieusement.

Dans la démonstration de Måløy, l’assistant divise par deux tous les chiffres financiers d’un rapport, puis copie les instructions piégées dans le nouveau document généré, toujours dissimulées. // Source : https://enklypesalt.com/

Ce document de sortie devient alors lui-même un vecteur d’attaque. Si un collègue l’utilise à son tour dans Copilot, le cycle recommence, le document original n’est plus nécessaire. L’infection circule dans les workflows internes via des fichiers d’apparence tout à fait légitime, produits par des collaborateurs qui n’ont rien remarqué. L’effacement des traces est quasi-total : Copilot n’indique nulle part qu’il a modifié des données ou introduit du contenu caché.

Microsoft a tenté de corriger, sans succès complet

Microsoft a reconnu le comportement dès fin mars 2026 et engagé des travaux de mitigation. Une première correction a été déployée début avril ; une seconde, incluant une mise à niveau du modèle sous-jacent vers GPT-5.5, est intervenue en juillet. À chaque fois, Måløy a pu reproduire l’attaque avec un prompt légèrement modifié.

« Le fait que cette vulnérabilité ne soit pas encore totalement neutralisée témoigne de la complexité du problème sous-jacent. Comme l’indiquent les réflexions finales, cette faiblesse est architecturale et commune aux systèmes LLM actuels », théorise le chercheur. « Sa résolution totale exige des recherches approfondies plutôt qu’un simple correctif. »

En attendant, Microsoft conseille de considérer tout document externe comme non fiable avant de le soumettre à Copilot, et de relire attentivement tout fichier généré par l’assistant avant de le diffuser.