Microsoft 144 gündür güvenlik açığını düzeltemiyor: Bir Word belgesi Copilot'un ürettiği her şeyi nasıl kandırabilir?

Bağımsız güvenlik araştırmacısı Hakon Molloy, 28 Temmuz 2026'da Copilot for Word'deki bir güvenlik açığına ilişkin aylarca süren araştırmasının sonuçlarını yayınladı. Bir saldırganın, Word belgesine insan gözüyle görünmeyen ancak model tarafından okunabilen beyaz fon üzerine beyaz metin yazarak kötü niyetli talimatlar yerleştirebileceğini keşfetti. Kullanıcı böyle bir belgeyi Copilot'ta kaynak olarak kullandığında, talimatlar fark edilmeden yerine getirilir ve oluşturulan belge yeni bir saldırı vektörü haline gelir; bu da enfeksiyonun saldırganın müdahalesi olmadan yayılmasına olanak tanır. Microsoft, Mart 2026'nın sonunda sorunu kabul etti ve biri modelin GPT-5.5'e güncellenmesini içeren iki yama yayınladı, ancak Molloy saldırıyı hafifçe değiştirilmiş bir istem ile yeniden üretebildi. Araştırmacı, sorunun mimari nitelikte olduğunu, tüm modern LLM'lerde bulunduğunu ve tam bir çözüm için derinlemesine araştırma gerektirdiğini düşünüyor. Şimdilik Microsoft, harici belgelere güvenilmezmiş gibi davranılmasını ve göndermeden önce oluşturulan dosyaların kontrol edilmesini öneriyor.