ผู้เชี่ยวชาญเตือนไวรัสเอกสาร Word ที่แฝงคำสั่งอันตรายใน Copilot ทำให้ระบบเสียหาย

การวิจัยของนักวิทยาศาสตร์ข้อมูล Håkon Måløy แสดงให้เห็นว่า คำสั่งที่ซ่อนอยู่ในข้อความสีขาวบนเอกสาร Microsoft Word สามารถทำให้ Microsoft 365 Copilot ปรับเปลี่ยนไฟล์ที่กำลังร่างและคัดลอกคำสั่งเหล่านั้นไปยังผลลัพธ์สุดท้ายได้โดยผู้ใช้ไม่รู้ ตัวการโจมตีนี้กลายเป็น “ไวรัส” ที่แพร่กระจายในระบบทำงานภายในองค์กรโดยไม่ต้องพึ่งแมโครหรือซอฟต์แวร์มัลแวร์ ทำให้ความเสี่ยงต่อข้อมูลและกระบวนการทำงานของผู้ใช้เพิ่มขึ้นอย่างมีนัยสำคัญ

Overview

Copilot ใน Word ได้รับการออกแบบให้ดึงข้อความจากเอกสารเพื่อประมวลผลโดยโมเดลภาษาขนาดใหญ่ (LLM) ก่อนจะส่งกลับเป็นเนื้อหาที่แนะนำต่อผู้ใช้ อย่างไรก็ตาม การที่ Copilot strip formatting ก่อนส่งข้อมูลทำให้ข้อความสีขาวบนพื้นหลังสีขาวซึ่งมนุษย์ไม่เห็นยังคงถูกอ่านโดยโมเดลได้ ผลการวิจัยยืนยันว่าโมเดลจะปฏิบัติตามคำสั่งเหล่านั้นและเพิ่มคำสั่งที่ซ่อนอยู่เข้าไปในไฟล์ผลลัพธ์โดยไม่มีการแจ้งเตือน

เหตุการณ์นี้จัดเป็นรูปแบบของ **cross‑domain prompt injection (XPIA) ซึ่งเป็นการฉีดคำสั่งจากโดเมนหนึ่งเข้าสู่โมเดลภาษาที่ทำงานบนโดเมนอื่น การโจมตีดังกล่าวไม่ต้องอาศัยโค้ดที่ทำงานโดยตรง จึงยากต่อการตรวจจับด้วยวิธีการรักษาความปลอดภัยแบบดั้งเดิม

How the Attack Works

ผู้โจมตีสร้างเอกสาร Word ที่มีข้อความคำสั่งซึ่งตั้งค่าให้เป็นสีขาวบนพื้นหลังสีขาว และใช้ฟอนต์ขนาดเล็กเพื่อทำให้ไม่สามารถมองเห็นได้ เมื่อไฟล์ดังกล่าวถูกแนบเข้าไปใน Copilot หรือเมื่อ Copilot ทำงานในโหมด Work IQ ค้นหาเอกสารที่เกี่ยวข้องจาก OneDrive โมเดลจะอ่านข้อความซ่อนนั้นและดำเนินการตามคำสั่ง ตัวอย่างเช่น การลดค่าเงินครึ่งหนึ่งของตัวเลขทางการเงินในรายงานไตรมาส

คำสั่งเหล่านี้มีสองส่วนสำคัญ ส่วนแรกเป็นการแก้ไขไฟล์ที่กำลังร่าง (เช่น ลดค่าตัวเลข) ส่วนที่สองคือการคัดลอกข้อความสั่งงานลงไปยังเอกสารผลลัพธ์โดยซ่อนในรูปแบบสีขาวอีกครั้ง การกระทำนี้จะทำให้ผู้ใช้คนต่อมาที่เปิดไฟล์ดังกล่าวกลายเป็นพาหะของเชื้อโรค โดยไม่ต้องรับไฟล์ต้นฉบับที่เป็นอันตราย

Disclosure Timeline & Mitigations

• 6 มี.ค. 2026 – Måløy ส่งรายงานไปยัง Microsoft Security Response Center (MSRC)
• 31 มี.ค. 2026 – Microsoft ยืนยันพฤติกรรมและเริ่มทำการแก้ไข
• ต้นเมษายน 2026 – ปรับปรุงประสบการณ์ “Edit with Copilot” เพื่อบล็อกคำสั่งแบบเดิมที่ใช้ใน Proof‑of‑Concept
• 14 ก.ค. 2026 – อัปเกรดโมเดลพื้นฐานเป็น GPT‑5.5 เพื่อลดความอ่อนไหวต่อรูปแบบใหม่ของคำสั่ง
• 15 ก.ค. 2026 – Måløy พบว่าการใช้ GPT‑5.6 สามารถทำลายการป้องกันได้และขอเวลาสองสัปดาห์เพื่อให้ Microsoft มีโอกาสแก้ไขเพิ่มเติม

แม้ว่าจะมีการอัปเดตสองครั้ง แต่นักวิจัยยังสามารถทำการโจมตีซ้ำได้ในวันเปิดเผยผลการทดสอบขั้นสุดท้าย ทำให้เห็นว่าการป้องกันที่มีอยู่ยังไม่ครอบคลุมกลุ่มความเสี่ยงนี้อย่างเต็มรูปแบบ

Technical Analysis

การโจมตีประเภท XPIA ใช้ “token” ของข้อความซ่อนเพื่อเปลี่ยนบริบทของโมเดลก่อนที่โมเดลจะประเมินว่าเป็นอันตรายหรือไม่ เนื่องจากคำสั่งถูกผสมเข้าไปใน context window ร่วมกับ System Prompt และคำขอของผู้ใช้ การตรวจจับโดยการกรองข้อความก่อนส่งเข้าสู่โมเดลจึงไม่เพียงพอ

Microsoft ชี้ให้เห็นว่าต้องมี “defense‑in‑depth” โดยเพิ่มขั้นตอนการบล็อกที่หลายระดับ ทั้งในระดับการแยกฟอร์แมตเอกสาร การตรวจสอบเนื้อหาจากแหล่งภายนอก และการทำ metadata provenance เพื่อบันทึกต้นทางของข้อมูล อย่างไรก็ตาม ปัญหาเชิงโครงสร้างของโมเดล LLM ที่ต้องรับอินพุตที่ไม่เชื่อถือได้ยังคงเป็นจุดอ่อนสำคัญ

Impact and Recommendations

องค์กรที่ใช้ Copilot เป็นส่วนหนึ่งของกระบวนการทำงานโดยอัตโนมัติ ควรปฏิบัติอย่างเคร่งครัดต่อเอกสารที่มาจากภายนอก โดยถือว่า untrusted และตรวจสอบไฟล์ก่อนนำเข้า Copilot นอกจากนี้ ผู้ใช้ควรรีวิวผลลัพธ์ของ AI อย่างละเอียด ก่อนทำการเผยแพร่หรือบันทึกเป็นข้อมูลถาวร

Måløy แนะนำให้เพิ่ม metadata provenance ในเอกสารที่สร้างโดย Copilot เพื่อให้สามารถติดตามแหล่งที่มาของเนื้อหาได้ แม้ว่าจะไม่ป้องกันการฉีดคำสั่งโดยตรง แต่จะช่วยในการวิเคราะห์และกักเก็บหลักฐานหลังเหตุการณ์

Microsoft ย้ำว่าผู้ใช้ควรอัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุด ใช้ระบบรักษาความปลอดภัยหลายระดับ และตรวจสอบเนื้อหาที่ AI สร้างขึ้นก่อนนำไปใช้งานต่อไป

Summary

การโจมตีโดยคำสั่งที่ซ่อนในไฟล์ Word สามารถทำให้ Microsoft 365 Copilot ปรับเปลี่ยนและแพร่กระจายข้อมูลอันตรายในระบบองค์กรได้อย่างลับๆ แม้ Microsoft จะออกการแก้ไขหลายครั้ง แต่ช่องโหว่ระดับพื้นฐานของโมเดลยังคงเปิดเผย การปฏิบัติตามแนวทางตรวจสอบเอกสารภายนอกและบันทึกแหล่งที่มาของข้อมูลเป็นขั้นตอนสำคัญเพื่อจำกัดผลกระทบ.