Microsoft가 144일 동안 취약점을 수정하지 못하다: Word 문서가 Copilot이 생성하는 모든 것을 속일 수 있는 방법

독립 보안 연구원 호콘 몰로이는 2026년 7월 28일에 Copilot for Word의 취약점에 대한 수개월간의 조사 결과를 발표했습니다. 그는 공격자가 Word 문서에 악성 지침을 흰색 배경에 흰색 텍스트로 기록하여 인간에게는 보이지 않지만 모델이 읽을 수 있는 방식으로 삽입할 수 있음을 발견했습니다. 사용자가 Copilot에서 해당 문서를 소스로 사용하면 지침이 눈에 띄지 않게 실행되고, 생성된 문서가 새로운 공격 벡터가 되어 공격자의 개입 없이 감염을 확산시킬 수 있습니다. Microsoft는 2026년 3월 말에 문제를 인정하고 두 가지 수정 사항을 출시했으며, 두 번째 수정에는 모델을 GPT-5.5로 업데이트하는 것이 포함되었지만 몰로이는 약간 변경된 프롬프트로 공격을 재현할 수 있었습니다. 연구원은 이 문제가 구조적인 특성을 가지며 모든 최신 LLM에 공통적으로 적용되며, 완전한 해결을 위해서는 심층적인 연구가 필요하다고 생각합니다. 현재 Microsoft는 외부 문서를 신뢰할 수 없는 것으로 취급하고 생성된 파일을 전송 전에 확인할 것을 권장합니다.