Microsoft ne peut pas corriger la vulnérabilité pendant 144 jours : comment un document Word peut tromper tout ce que Copilot génère ensuite

Un chercheur indépendant en sécurité, Håkon Møller, a publié le 28 juillet 2026 les résultats d'une enquête de plusieurs mois sur une vulnérabilité dans Copilot pour Word. Il a découvert qu'un attaquant peut injecter des instructions malveillantes dans un document Word en les écrivant en texte blanc sur fond blanc, invisible pour l'humain mais lisible par le modèle. Lorsqu'un utilisateur utilise un tel document comme source dans Copilot, les instructions sont exécutées discrètement, et le document généré devient un nouveau vecteur d'attaque, permettant de propager l'infection sans intervention de l'attaquant. Microsoft a reconnu le problème fin mars 2026 et a publié deux correctifs, le second incluant une mise à jour du modèle vers GPT-5.5, mais Møller a pu reproduire l'attaque avec un prompt légèrement modifié. Le chercheur estime que le problème est de nature architecturale et inhérent à tous les LLM modernes, nécessitant des recherches approfondies pour une solution complète. En attendant, Microsoft recommande de considérer les documents externes comme non fiables et de vérifier les fichiers générés avant de les envoyer.