Một **lỗ hổng Prompt Injection** mới được phát hiện trong Microsoft Copilot cho Word đã cho thấy cách các câu lệnh ẩn trong tài liệu có thể biến việc chỉnh sửa thông thường thành một “AI worm” tự lây lan. Kẻ tấn công có thể lợi dụng lỗ hổng này để làm sai lệch nội dung kinh doanh và âm thầm phát tán đến các tệp mới.
Bản Chất của Lỗ Hổng Prompt Injection và Cơ Chế Khai Thác
Lỗ hổng này, được khám phá bởi EN Klype Salt, xuất phát từ cách Copilot xử lý các tài liệu đính kèm hoặc tài liệu ngữ cảnh. Văn bản có vẻ không liên quan hoặc vô hình đối với người dùng vẫn có thể được mô hình ngôn ngữ lớn (LLM) bên dưới phân tích đầy đủ.
Điều này cho phép các hướng dẫn do kẻ tấn công kiểm soát vượt qua ranh giới tin cậy giữa tài liệu nguồn không đáng tin cậy và tài liệu làm việc đáng tin cậy.
Cơ Chế Hoạt Động Của Prompt Ẩn
Trong kịch bản báo cáo, kẻ tấn công ẩn một prompt được định dạng JSON bên trong tài liệu Word. Ví dụ, văn bản độc hại được định dạng màu trắng trên nền trắng với phông chữ nhỏ ở cuối một bản phân tích thị trường hoặc báo cáo.
Khi người dùng sau đó đính kèm hoặc gián tiếp tham chiếu tài liệu này trong Copilot cho Word, thông qua trải nghiệm “magic pen” hoặc chế độ “Edit with Copilot”, Copilot sẽ loại bỏ định dạng.
Sau đó, Copilot đọc văn bản ẩn như các hướng dẫn và bắt đầu thao túng tài liệu đang hoạt động. Đây là một phương pháp **tấn công mạng** tinh vi, khai thác sự tin cậy vào các công cụ AI.
Quy Trình Lây Lan và Khái Niệm “AI Worm”
Một khi được kích hoạt, Copilot có thể thay đổi các nội dung quan trọng. Ví dụ, nó có thể âm thầm giảm một nửa số liệu tài chính trong báo cáo quý 1. Đồng thời, nó sao chép toàn bộ prompt độc hại vào tài liệu mới được tạo hoặc chỉnh sửa bằng cách sử dụng định dạng ẩn tương tự.
Tài liệu hạ nguồn đó giờ đây trở thành một vector tấn công mới. Nếu tài liệu này sau đó được sử dụng lại làm tài liệu nguồn cho một bản nháp khác được hỗ trợ bởi Copilot, prompt ẩn sẽ kích hoạt lại, sửa đổi nội dung mới và tự nhúng một lần nữa.
Trên thực tế, cuộc tấn công biến các tệp nội bộ đáng tin cậy thành vật mang một “AI worm” tự lây lan thông qua quá trình cộng tác và tái sử dụng tài liệu bình thường. Quá trình này diễn ra ngay cả khi tài liệu bên ngoài ban đầu không còn hiện diện.
Phân Tích Kỹ Thuật và Tác Động Nghiêm Trọng của Lỗ Hổng Prompt Injection
Nghiên cứu này được xây dựng dựa trên công trình trước đó về các cuộc **tấn công mạng** Prompt Injection đa miền (XPIAs). Nó mở rộng mối đe dọa từ các thỏa hiệp tương tác đơn lẻ sang lây lan đa tài liệu trong quy trình làm việc của doanh nghiệp.
Các nghiên cứu đã chứng minh rằng các hành vi này được tái tạo lại trên nhiều cấu hình Copilot và các mô hình cơ bản, bao gồm cả các triển khai được nâng cấp lên GPT-5.5 và GPT-5.6.
Nghiên Cứu và Công Bố Lỗ Hổng
Nhà nghiên cứu EN Klype Salt đã phối hợp công bố thông tin với Microsoft Security Response Center (MSRC) và các nhóm sản phẩm trong khoảng thời gian 144 ngày. Việc này bao gồm cung cấp các bước tái tạo, các prompt PoC (Proof of Concept) và các video chi tiết.
Công bố đầy đủ về nghiên cứu có thể được tìm thấy tại EN Klype Salt, nơi cung cấp cái nhìn sâu sắc về cơ chế và tác động của lỗ hổng này.
Tình Trạng Vá Lỗi và Khả Năng Khai Thác
Mặc dù Microsoft đã cung cấp các bản sửa lỗi một phần và đã đóng thành công một số vector liên quan, hiện tại không có biện pháp giảm thiểu mạnh mẽ cho toàn bộ lớp lỗ hổng này.
Chuỗi tấn công vẫn có thể bị khai thác tại thời điểm công bố. Điều này cho thấy đây là một **lỗ hổng zero-day** trong thực tế, đe dọa nghiêm trọng đến **bảo mật thông tin** của các tổ chức.
Tính chất dai dẳng của lỗ hổng này yêu cầu các tổ chức phải chủ động trong việc phòng vệ. Các biện pháp bảo vệ cần được áp dụng ngay lập tức để hạn chế tối đa rủi ro.
Tác Động của Lỗ Hổng Prompt Injection Đối Với Doanh Nghiệp
Đối với các tổ chức, rủi ro tức thời là mất toàn vẹn dữ liệu và khả năng truy vết trong hệ sinh thái Microsoft 365 của họ. Một khi các hướng dẫn độc hại được nhúng vào các tài liệu do nội bộ tạo ra, chúng có thể được phân phối lại.
Việc phân phối lại có thể thông qua SharePoint, Teams hoặc email đến các phòng ban khác và thậm chí các tổ chức đối tác. Tất cả điều này diễn ra dưới danh nghĩa nội dung hợp pháp, làm tăng thêm sự phức tạp của **mối đe dọa mạng**.
Rủi Ro Mất Toàn Vẹn Dữ Liệu và Khó Khăn Trong Điều Tra
Vì các chỉnh sửa của Copilot thường được phê duyệt và sau đó không còn được hiển thị dưới dạng các thay đổi riêng biệt, việc xác định nơi và thời điểm các con số tài chính hoặc cách diễn đạt bị thao túng trở nên cực kỳ khó khăn.
Thực trạng này làm phức tạp hóa quá trình phản ứng sự cố và phân tích pháp y. Hậu quả có thể là **rò rỉ dữ liệu nhạy cảm** hoặc sự sai lệch thông tin quan trọng mà không có dấu vết rõ ràng.
Các nhóm **bảo mật thông tin** sẽ phải đối mặt với những thách thức lớn trong việc điều tra nguồn gốc và phạm vi của sự cố khi các dữ liệu bị thay đổi một cách tinh vi.
Chiến Lược Bảo Mật Thông Tin và Giảm Thiểu Rủi Ro
Các nhà phòng thủ không thể khắc phục hoàn toàn vấn đề này ở phía khách hàng tại thời điểm hiện tại. Tuy nhiên, họ có thể giảm thiểu mức độ phơi nhiễm bằng cách coi các tài liệu có nguồn gốc từ bên ngoài là không đáng tin cậy khi sử dụng với Copilot.
Điều này đòi hỏi một sự thay đổi trong quy trình làm việc và nhận thức về an toàn thông tin.
Các Biện Pháp Phòng Ngừa Ngay Lập Tức
- Xem xét kỹ lưỡng tài liệu: Rà soát các tài liệu đính kèm trước khi bắt đầu soạn thảo hoặc chỉnh sửa bằng AI.
- Kiểm tra thủ công: Thực hiện kiểm tra thủ công cẩn thận đối với bất kỳ tài liệu nào được Copilot tạo ra hoặc chỉnh sửa trước khi tái sử dụng hoặc chia sẻ chúng.
- Huấn luyện người dùng: Nâng cao nhận thức của người dùng về nguy cơ của **lỗ hổng Prompt Injection** và cách nhận biết các dấu hiệu bất thường.
Nhận Thức Về Điểm Yếu Kiến Trúc Hệ Thống LLM
Ở cấp độ chiến lược, những phát hiện này làm nổi bật một điểm yếu kiến trúc chung được chia sẻ trên nhiều hệ thống tích hợp LLM. Nội dung do kẻ tấn công kiểm soát phải được xử lý trong cùng ngữ cảnh với các hướng dẫn đáng tin cậy.
Điều này làm cho prompt injection và khả năng tự lây lan trở thành một rủi ro hệ thống, thay vì chỉ là một lỗi sản phẩm riêng lẻ. Việc hiểu rõ điểm yếu này là chìa khóa để xây dựng các hệ thống AI an toàn hơn trong tương lai.
Để tăng cường **bảo mật thông tin**, các nhà phát triển và tổ chức cần phải xem xét lại các kiến trúc cốt lõi của hệ thống LLM. Mục tiêu là để đảm bảo rằng các ranh giới tin cậy được thiết lập rõ ràng và không thể bị vượt qua một cách dễ dàng.
Việc này cũng nhấn mạnh tầm quan trọng của việc cập nhật liên tục các kiến thức về **mối đe dọa mạng** và các kỹ thuật tấn công mới. Các tổ chức phải luôn sẵn sàng điều chỉnh chiến lược phòng thủ của mình.
