Facilitant une diffusion virale au sein des réseaux d'entreprises
Un chercheur a révélé l'existence d'un nouveau ver piloté par l'IA et capable de se propager de manière autonome via Microsoft Copilot pour Word. Un attaquant peut dissimuler des instructions malveillantes dans un document texte pour manipuler les sorties de Copilot et infecter de nouveaux fichiers. Cette faille d'injection de prompt transforme texte chaque document généré en un vecteur d'attaque indétectable pour l'utilisateur, facilitant une diffusion virale au sein des réseaux d'entreprises. Microsoft a tenté de corriger la faille, mais le problème réside dans l'architecture même des modèles de langage, qui peinent à distinguer les données des instructions.
Copilot est un assistant d’IA développé par Microsoft. Il fonctionne comme un compagnon d’IA générative capable de répondre à des questions, de résumer du texte, de générer des images et d’automatiser des tâches routinières sur le Web et dans vos applications de bureau. Depuis le lancement de Copilot, Microsoft n’a cessé d’insister sur son potentiel à transformer la productivité : assistance dans Outlook, pilotage de réunions dans Teams, etc.
Cependant, dans la pratique, le constat est sans appel : Copilot ne fonctionne pas. L'assistant tant vanté par Microsoft est jugé peu fiable, inefficace et enclin à générer des contenus fictifs. Les utilisateurs se plaignent constamment. Par ailleurs, Copilot possède de nombreuses couches de garde-fous jugés lourds qui réécrivent, bloquent ou altèrent les réponses. Copilot serait optimisé pour la facilité d'utilisation générale plutôt que pour la précision.
Récemment, le chercheur Håkon Måløy a mis au jour une faille de sécurité critique dans Copilot pour Word, rendant possible la création d'un ver informatique basé sur l'IA. Il met en garde les utilisateurs de Word contre les documents non fiables, qui peuvent cacher des instructions malveillantes.
Découverte d'une vulnérabilité critique dans l'IA Copilot
Håkon Måløy, un scientifique des données norvégien titulaire d’un doctorat en IA appliquée et en apprentissage automatique, a rendu cette faille publique le 28 juillet 2026. Håkon Måløy décrit le problème de manière très détaillée tout en ne divulguant pas la charge utile spécifique de la commande. En l'absence de solution de protection efficace, le chercheur a déclaré qu'il serait irresponsable de révéler quoi que ce soit au-delà de la nature de la vulnérabilité.
Il existe déjà des exemples de vers IA. Notamment, le ver Morris II a démontré la propagation autoréplicative de prompts dans des écosystèmes d’assistants de messagerie alimentés par l’IA générative. « Mais à ma connaissance, il s’agit de l’une des premières démonstrations publiques d’autopropagation d’un ver IA véhiculé par des documents via des flux de travail normaux dans une suite bureautique commerciale grand public », a-t-il déclaré.
Selon son rapport, un pirate informatique peut dissimuler des instructions malveillantes dans un document Word qui, une fois intégrées dans le contexte de Copilot pour Word, peuvent modifier le résultat final du document et copier ces instructions dans des fichiers nouvellement créés utilisant le document affecté comme source, sans que la victime s’en aperçoive. Ce comportement facilite une diffusion virale dans les réseaux d'entreprises.
Cette découverte intervient alors que Copilot suscite déjà une vive controverse et un rejet massif. Copilot n'a jamais réussi à convaincre, car l'assistant IA affiche des performances largement en deçà des performances de ses rivaux. Au lieu de cela, Microsoft a forcé la main à ses utilisateurs en intégrant Copilot dans tous les recoins de son écosystème. « Génial ! On se retrouve désormais avec un Copilot invasif et dangereux », a écrit un commentateur.
Le mécanisme de l'attaque et sa propagation fulgurante
Comme l'explique le rapport de Håkon Måløy, cette faille critique repose sur des attaques par injection de requêtes interdomaines (XPIA), où un pirate dissimule des instructions malveillantes dans un document, par exemple en utilisant une petite police de texte blanc sur un fond blanc. Le chercheur a expliqué le fonctionnement de ce ver IA à l’aide d’un exemple mettant en scène un employé préparant un rapport financier pour son entreprise.
L’employé télécharge une analyse de marché depuis un site Web de confiance afin de l’aider à préparer un rapport financier dans Copilot, sans se douter que la source a été compromise et que le document qu’il a téléchargé contient des instructions malveillantes cachées. Ces instructions cachées ordonnent à Copilot de modifier les chiffres du rapport généré par l’employé et de copier le ver dans le rapport qu’il crée avec l'assistant IA de Microsoft.
Si un autre employé ajoute par la suite ce rapport à son propre travail, tout le processus recommence, et les documents générés à partir de celui-ci contiennent également le ver. À mesure qu’il se propage, il devient extrêmement difficile de remonter à la source de l’infection. « L’attaque peut donc se poursuivre sans autre intervention de la part du site Web compromis ou du document malveillant d’origine », explique Håkon Måløy dans son rapport.
« L’attaquant n’a pas besoin d’accéder au tenant Microsoft 365 de la victime. Il lui suffit de partager un document malveillant avec celle-ci ». Copilot devrait exploiter les informations contenues dans les documents qu'un utilisateur intègre dans le contexte d'un projet, sans considérer les instructions intégrées dans un document comme des invites supplémentaires, mais les recherches de Håkon Måløy ont révélé que « ce n'est pas toujours le cas ».
Un défaut architectural fondamental des modèles d'IA
Håkon Måløy collaborait avec Microsoft depuis mars 2026 pour remédier à cette faille, mais après plusieurs mises à jour de Copilot, ce nouveau type de ver Copilot restait toujours opérationnel. Microsoft a atténué l’exploit démontré par son instruction de preuve de concept initiale, mais selon le chercheur, la reformulation de la charge utile lui avait permis de propager avec succès le ver et de modifier des données financières dans un document cible.
Håkon Måløy affirme avoir mis au jour un nouveau type d’attaque par injection de requêtes interdomaines (XPIA) qui exploite un élément fondamental de l’architecture moderne des grands modèles de langage (LLM). Ce n'est pas la première fois que l'architecture des modèles d'IA est remise en cause.
Håkon Måløy et Microsoft ont reporté à deux reprises la divulgation publique du problème, mais, après 144 jours, il a déclaré dans son rapport qu’il fallait sensibiliser le public. « La période de coordination convenue avec Microsoft est arrivée à son terme, et les tests montrent qu’aucune mesure de correction robuste n’est actuellement disponible pour cette classe de vulnérabilités plus large », a-t-il déclaré. Et le problème pourrait s'avérer insoluble.Håkon Måløy
Pour que les assistants IA soient utiles, ils doivent souvent traiter des e-mails, des documents, des pages Web, des souvenirs, des résultats d’outils et d’autres informations susceptibles d’être contrôlées par un attaquant. Compter sur le modèle pour détecter les XPIA revient donc à demander à un interpréteur d’exécuter un programme non fiable afin de déterminer si ce programme peut être exécuté en toute sécurité.
Si Microsoft ou une autre entreprise venait à intercaler un autre modèle devant ce modèle pour vérifier la présence de contenu malveillant, cela ne ferait que déplacer le problème vers l’extérieur, créant ainsi un scénario de « LLM à tous les niveaux ».
Le défi à long terme réside probablement dans la conception de systèmes dans lesquels les objectifs et les intentions existent également indépendamment des informations traitées. D’ici là, tout système intégrant aujourd’hui un LLM dans un flux de travail fiable doit partir du principe que le contenu contrôlé par un attaquant entrant dans le contexte du modèle entraînera une compromission à un certain taux.
Les conséquences à long terme et les recommandations
L'intégration croissante de ces assistants IA dans les environnements professionnels transforme l'intégrité de l'information en un enjeu de sécurité prioritaire. En l'absence de correctif technique définitif, la prévention repose uniquement sur la vigilance humaine. « Aucune mesure corrective du côté du client ne résout entièrement le problème à la date de publication », a déclaré Håkon Måløy, mais il a néanmoins quelques recommandations à faire.
Le chercheur recommande de considérer tout document provenant d'une source externe comme non fiable lorsqu’on les utilise dans Copilot, d’examiner minutieusement chaque document avant de l’envoyer à Copilot, et de relire attentivement tout document généré ou modifié par Copilot avant de le diffuser.
Microsoft affirme avoir examiné les conclusions du chercheur et le remercie d'avoir collaboré avec eux via une divulgation coordonnée. Pour contrer cette catégorie de risques, Microsoft explique utiliser une « stratégie de défense en profondeur », avec des mesures de sécurité visant à bloquer les instructions malveillantes à plusieurs niveaux et à maintenir l'outil aligné sur les véritables requêtes des utilisateurs. L'entreprise recommande notamment de :
installer les dernières mises à jour ;
maintenir plusieurs couches de protection de sécurité ;
traiter avec une grande prudence les contenus provenant de sources inconnues ;
toujours relire et vérifier le contenu généré par l'IA avant de s'en servir ou de le partager.
Toutefois, cette déclaration officielle ne dissipe pas totalement les craintes suggérant que le problème de fond reste pour l'instant non résolu. L'insistance de Microsoft exaspère tout le monde. Au-delà de l'instabilité technique, Copilot représente une menace croissante pour la sécurité et la confidentialité des données. Malgré des investissements colossaux, Copilot s'est ajouté à listes des nombreux échecs spectaculaires récents du géant de Redmond.
Il y a quelques semaines, les chercheurs en cybersécurité de Varonis Threat Labs ont découvert une faille critique dans Microsoft 365 Copilot Enterprise, référencée sous le numéro CVE-2026-42824 et baptisée « SearchLeak ». Elle permet aux pirates de dérober des données d'entreprise sensibles en un seul clic.
Un désaveu de Copilot et un problème d'image de marque
Microsoft continue d’imposer Copilot là où personne n’en a demandé, que ce soit dans Office, Paint, l’Explorateur de fichiers ou via une touche matérielle dédiée dont Microsoft a récemment admis qu’elle nuisait à la productivité des utilisateurs. L'entreprise a même dû revenir sur sa décision d’afficher le bouton flottant Copilot dans Excel et Word. « Windows a perdu sa stabilité au profit d'une expérience d'IA totalement ratée », a écrit un critique.
Internet a donné un nom à ce phénomène : « Microslop ». Ce nom, qui fait référence aux contenus médiocres générés par l'IA, s'est tellement ancré que Microsoft a dû réduire la visibilité de la marque Copilot dans ses applications de messagerie au début de cette année. Un ancien vice-président de Microsoft avait déjà chiffré ce phénomène avant que Fortune ne le fasse, affirmant que seuls 3,3 % des utilisateurs de Microsoft 365 payaient pour Copilot.
Aucun des produits Copilot ne séduit. Copilot sur le Web stagne toujours autour de 1 % de part de marché. Du côté des développeurs, GitHub Copilot connaît une situation similaire. Il compte 4,7 millions d’utilisateurs payants, ce qui peut sembler beaucoup jusqu’à ce que l’on remarque qu’il perd du terrain face à Cursor et Claude Code, qui ont tous deux connu une croissance plus rapide au cours de l’année écoulée que la base installée de Copilot.
Le logiciel fonctionne avec des protocoles excessivement permissifs qui héritent de tous les droits d'accès de l'utilisateur connecté. Des chercheurs ont mis en évidence des failles sophistiquées permettant à des attaquants de manipuler Copilot pour qu'il scanne les courriels d'un dirigeant à son insu, encode les données extraites de manière invisible, puis les exfiltre silencieusement vers un serveur de commande externe à travers un lien déguisé.
merci à Developpez.com
