Microsoft Copilot Word Rentan Salin Instruksi Tersembunyi ke Dokumen Baru

Microsoft Copilot untuk Word ditemukan memiliki kerentanan yang memungkinkan instruksi tersembunyi dalam sebuah dokumen untuk mengubah angka dalam laporan dan menyalin instruksi tersebut ke dokumen baru yang dihasilkan. Teknik ini dipublikasikan oleh Håkon Måløy pada 28 Juli 2026, setelah melaporkan masalah ini ke Microsoft 144 hari sebelumnya.

Bagaimana Kerentanan Ini Bekerja

Dalam proof of concept-nya, Måløy menunjukkan bahwa dokumen yang dihasilkan secara internal oleh Copilot dapat membawa instruksi tersembunyi yang kemudian memicu perilaku serupa ketika dokumen tersebut digunakan dalam sesi drafting Copilot berikutnya. Dengan kata lain, dokumen yang sudah terinfeksi dapat menjadi "pembawa" instruksi yang memengaruhi hasil edit atau draft selanjutnya.

Måløy menjelaskan bahwa Microsoft mengonfirmasi adanya kerentanan ini pada 31 Maret dan telah meluncurkan dua mitigasi: yang pertama memblokir kata-kata prompt asli, dan yang kedua meng-upgrade model dasar ke GPT-5.5. Namun, pada pengujian dengan instruksi yang dimodifikasi menggunakan GPT-5.6, kerentanan masih dapat direproduksi bahkan sampai tanggal publikasi artikel ini.

Cara Kerja Serangan dan Syaratnya

Serangan ini bukan jenis zero-click dan tidak menjalankan malware tradisional. Serangan ini memerlukan operasi drafting atau pengeditan dengan Copilot, di mana dokumen berbahaya harus masuk ke konteks model sebagai lampiran atau sumber OneDrive yang dipilih oleh Work IQ, mesin intelijen di balik Microsoft 365 Copilot.

Dalam contoh serangannya, Copilot mengubah setiap angka finansial menjadi setengahnya, lalu menyalin seluruh prompt tersembunyi ke dalam dokumen akhir dengan teks berwarna putih berukuran delapan poin, sehingga tidak terlihat oleh pengguna. Yang lebih mengkhawatirkan, dokumen hasil tersebut tidak mengindikasikan adanya perubahan atau instruksi tersembunyi itu.

Teknis Format dan Penanganan Model

Måløy mengungkapkan bahwa Word menghapus warna dan ukuran font sebelum mengirim teks dokumen ke model bahasa besar, sehingga instruksi berwarna putih di dalam teks tetap dapat terbaca oleh model. Payload terdiri dari dua bagian: satu untuk mengubah dokumen dan bagian lain untuk menyuruh Copilot menyalin dan menyembunyikan instruksi tersebut dengan membingkai perintah tersebut sebagai persyaratan pelacakan sumber dan keterbacaan.

Microsoft menyatakan bahwa Word dapat menggunakan hingga 20 file, email, atau data rapat sebagai dasar draft, dan fitur Edit with Copilot masih dalam tahap peluncuran global untuk pengguna dengan lisensi yang memenuhi syarat. Dalam pengujian Måløy, Copilot mencari laporan kuartalan di OneDrive, menemukan file analisis pasar berbahaya yang berada di luar folder sumber lain, dan memasukkannya ke dalam draft karena Work IQ menilai file tersebut relevan.

Risiko dan Rekomendasi Keamanan

Kerentanan ini tidak menyebar secara otomatis—setiap penyebaran memerlukan operasi drafting atau pengeditan baru di mana dokumen pembawa masuk ke konteks model. Namun, setelah instruksi disalin ke dokumen yang dihasilkan secara internal, sumber asli sudah tidak ada saat dokumen berikutnya diproses, sehingga membuat jejak asal-usul manipulasi menjadi sulit dilacak.

Hingga saat ini, belum ditemukan CVE publik atau pengumuman resmi Microsoft yang berdiri sendiri untuk kerentanan ini. Microsoft menyatakan bahwa classifier jailbreak dan cross-prompt injection attack (XPIA) membantu memblokir prompt berisiko tinggi, walaupun tidak selalu tersedia di semua skenario Copilot.

Defender for Office 365 menambahkan inspeksi alur surat untuk email masuk, dan Microsoft menyebutkan bahwa perlindungan waktu jalan Copilot dirancang untuk menangani instruksi yang disuntikkan dari konten yang di-grounding. Namun, baik Microsoft maupun Måløy tidak memastikan apakah payload spesifik ini terdeteksi di lapisan tersebut.

Måløy menekankan tidak ada solusi di sisi pengguna yang bisa sepenuhnya mengatasi masalah ini, karena pemblokiran spesifik payload tidak menutupi kelas serangan ini. Model harus memproses konten yang dikontrol penyerang untuk menilai apakah itu berbahaya, sehingga "konten yang diperiksa turut serta dalam proses inspeksi." Microsoft juga menegaskan bahwa "prompting saja bukan batasan keamanan yang dapat diandalkan" dan akses memori AI harus dikendalikan oleh sistem deterministik, bukan instruksi model.

Rekomendasi Pengguna dan Organisasi

• Perlakukan dokumen eksternal sebagai sumber tidak terpercaya.
• Tinjau dokumen yang dilampirkan sebelum memulai proses generasi atau pengeditan dengan Copilot.
• Periksa kembali file yang dihasilkan atau diedit oleh Copilot sebelum digunakan ulang atau dibagikan.

Laporan asli The Hacker News memberikan detail lebih lanjut mengenai teknik dan mitigasi yang diterapkan Microsoft.

Analisis Redaksi

Menurut pandangan redaksi, kerentanan ini menyoroti tantangan besar dalam mengamankan sistem AI generatif yang semakin terintegrasi dalam alat produktivitas sehari-hari seperti Microsoft 365 Copilot. Instruksi tersembunyi yang dapat memanipulasi output dan menyebar ke dokumen berikutnya tanpa jejak jelas adalah sebuah peringatan serius bahwa model bahasa besar bisa dimanfaatkan untuk tujuan manipulasi data yang sulit dideteksi oleh sistem tradisional.

Kerentanan ini juga membuka diskusi penting tentang bagaimana perusahaan harus mengembangkan kontrol akses dan validasi konten yang lebih ketat, terutama terkait dengan integrasi AI dalam dokumen bisnis penting. Tidak cukup hanya mengandalkan pemblokiran kata kunci atau filter sederhana; perlu ada mekanisme verifikasi yang mampu menilai konteks dan niat tersembunyi dalam prompt yang diproses.

Masyarakat pengguna Microsoft 365, terutama korporasi dan organisasi dengan data sensitif, harus waspada dan menerapkan protokol keamanan tambahan sambil menunggu perbaikan yang lebih menyeluruh dari Microsoft. Ke depan, pemantauan dan audit rutin atas dokumen yang dihasilkan AI akan menjadi aspek krusial untuk mencegah manipulasi yang merugikan.