144 jours de coordination avec Microsoft, deux tentatives de correctif, une mise à niveau du modèle IA sous-jacent. Et l’attaque fonctionne toujours.
Håkon Måløy, chercheur indépendant en sécurité, a publié le 28 juillet 2026 les conclusions de plusieurs mois d’investigation sur Copilot for Word. Dans une série de billets techniques, il documente une injection de prompt, où des instructions malveillantes sont glissées dans un document pour détourner le comportement de l’assistant IA.
Ce troisième volet va plus loin que les précédents : il montre que l’attaque peut se reproduire d’elle-même, sans action supplémentaire de l’attaquant.
Comment le piège se propage de fichier en fichier
Le mécanisme repose sur une propriété de Copilot for Word : lorsqu’un utilisateur rédige un document en s’appuyant sur des fichiers sources, l’assistant lit et intègre leur contenu dans son contexte. C’est là que l’attaque s’insère.
Un attaquant prépare un document Word contenant des instructions malveillantes rédigées en texte blanc sur fond blanc — invisibles à l’œil, mais parfaitement lisibles par le modèle, qui ne tient pas compte de la mise en forme. Si ce fichier est utilisé comme source dans une session Copilot, les instructions s’exécutent silencieusement.
Ce document de sortie devient alors lui-même un vecteur d’attaque. Si un collègue l’utilise à son tour dans Copilot, le cycle recommence, le document original n’est plus nécessaire. L’infection circule dans les workflows internes via des fichiers d’apparence tout à fait légitime, produits par des collaborateurs qui n’ont rien remarqué. L’effacement des traces est quasi-total : Copilot n’indique nulle part qu’il a modifié des données ou introduit du contenu caché.
Microsoft a tenté de corriger, sans succès complet
Microsoft a reconnu le comportement dès fin mars 2026 et engagé des travaux de mitigation. Une première correction a été déployée début avril ; une seconde, incluant une mise à niveau du modèle sous-jacent vers GPT-5.5, est intervenue en juillet. À chaque fois, Måløy a pu reproduire l’attaque avec un prompt légèrement modifié.
« Le fait que cette vulnérabilité ne soit pas encore totalement neutralisée témoigne de la complexité du problème sous-jacent. Comme l’indiquent les réflexions finales, cette faiblesse est architecturale et commune aux systèmes LLM actuels », théorise le chercheur. « Sa résolution totale exige des recherches approfondies plutôt qu’un simple correctif. »
En attendant, Microsoft conseille de considérer tout document externe comme non fiable avant de le soumettre à Copilot, et de relire attentivement tout fichier généré par l’assistant avant de le diffuser.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !