.png)
.png)
Peneliti keamanan Håkon Måløy memublikasikan temuan uji konsep (proof-of-concept) mengenai celah keamanan pada Microsoft 365 Copilot di Word yang memungkinkan instruksi tersembunyi (hidden prompt injection) menyebar secara otomatis dari satu dokumen ke dokumen lain dan ini memiliki kesamaan pada worm yang pernah ada atau worm tradisional.
Kerentanan ini sangat mendasar pada arsitektur Retrieval-Augmented Generation (RAG) dan mekanisme Context Window Injection yang digunakan fitur Edit with Copilot (sebelumnya dikenal sebagai Agent Mode) di Word, beserta mesin kognitif pendukungnya, Work IQ.
Cara Kerja Injeksi dan Replikasi Mandiri
1. Penyisipan Instruksi (Prompt Injection)
Peretas memasukkan instruksi terselubung berupa teks bahasa alami ke dalam sebuah dokumen, misalnya berkas Word yang diunduh dari internet atau dokumen analisis pasar. Instruksi ini sengaja disembunyikan menggunakan sejumlah teknik manipulasi CSS/styling Word, seperti:
- Ukuran huruf sangat kecil (font-size: 0pt)
- Warna teks yang sama dengan latar belakang (color: #FFFFFF)
- Diselipkan pada Custom Document Properties atau metadata berkas
2. Pengolahan oleh Engine AI (Copilot & Work IQ)
Ketika pengguna menggunakan Copilot di Word untuk membuat atau mengedit laporan dan memilih berkas tersebut sebagai sumber referensi melalui fitur /Files, Work IQ mesin intelijen Microsoft 365 Copilot yang menghubungkan data pribadi/organisasi dari OneDrive, email, dan sumber lain akan membaca berkas tersebut melalui API RAG internal dan memasukkan (ingest) seluruh isinya ke dalam Context Window LLM.
Persoalannya, AI tidak bisa membedakan mana instruksi resmi dari pengguna dan mana data masukan dengan tujuan dibaca sebagai referensi. Instruksi tersembunyi di dalam berkas pun diperlakukan sebagai bagian dari perintah resmi pengguna.
3. Replikasi Diri (Self-Replication)
Instruksi jahat tersebut memerintahkan AI untuk melakukan dua tindakan sekaligus:
- Manipulasi Data mengubah konten utama dokumen yang sedang dibuat, misalnya mengubah angka-angka pada laporan keuangan perusahaan.
- Replikasi Diri menyalin ulang kode instruksi tersembunyi yang sama ke dalam dokumen baru yang dihasilkan Copilot.
4. Penyebaran ke Dokumen Lain (Worm Behavior)
Dokumen baru buatan Copilot otomatis menjadi media perantara serangan (carrier) baru. Ketika dokumen tersebut disimpan di cloud seperti OneDrive dan kemudian digunakan oleh rekan kerja lain sebagai acuan untuk menyusun dokumen berikutnya, seluruh alur di atas akan terulang kembali.
Jadi serangan bisa menyebar dari satu dokumen ke dokumen lain di dalam jaringan organisasi tanpa memerlukan aksi peretasan tambahan atau eksekusi malware tradisional apa pun.
Mengapa Sulit Dilacak
Karena rantai serangan berlanjut melalui dokumen-dokumen internal biasa tanpa memerlukan berkas asli dari peretas, manipulasi ini menjadi sangat sulit dilacak sumber awalnya (provenance trail). Jadi ibaratnya hanya dari dokumen awal saja yang diproses oleh AI dan menghasilkan dokumen lain padahal dokumen yang digenerate ini adalah dokumen yang sudah dibuat di internal.
Menurut temuan tersebut, akar masalahnya terletak pada arsitektur LLM berbasis Transformer yang secara alami tidak memiliki pemisahan memori secara hardware antara Data Plane (dokumen sumber yang dibaca) dan Control/Instruction Plane (perintah pengguna).
Work IQ menggabungkan isi berkas eksternal dan prompt pengguna ke dalam satu blok token konteks tunggal (System/User Context Fusion). Akibatnya, model mengalami Context Collapse gagal membedakan antara batas dokumen acuan dengan instruksi sistem, sehingga perintah tersembunyi dapat mengeksekusi pembajakan alur kontrol (control flow hijacking). Mudahnya AI tidak bisa membedakan konteks antara data dan instruksi jadi di gabungin secara konteks.
Celah ini tidak menyebabkan kerusakan infrastruktur sistem atau malware biner tradisional. Dampaknya justru berupa perusakan integritas data bisnis misalnya manipulasi laporan keuangan atau keputusan strategis yang terjadi secara terstruktur dan sulit dilacak asal-usulnya.
Hingga saat ini, belum ada pembenahan mutlak dari sisi Microsoft untuk seluruh kelas kerentanan ini (unremediated class-level vulnerability).
Rekomendasi Mitigasi
Sembari menunggu perbaikan dari vendor, langkah terbaik yang disarankan adalah menerapkan prinsip Zero Trust pada Data Masukan AI, yang mencakup:
- Perlakukan Dokumen Eksternal Sebagai Untrusted Input jangan pernah langsung menautkan dokumen yang diunduh dari internet atau pihak ketiga sebagai referensi /Files di Copilot tanpa pemeriksaan terlebih dahulu.
- Penerapan Sanitizer/Pembersihan Teks lakukan validasi pada dokumen sebelum diolah Copilot, misalnya menghapus metadata tersembunyi dan teks transparan/berukuran 0pt, atau mengonversi dokumen ke format .txt bersih sebelum diproses melalui RAG.
.png)
.png)