Un ver IA squatte Microsoft Copilot depuis 144 jours — et Microsoft n'arrive toujours pas à le tuer

Le 29 juillet 2026, un chercheur en sécurité rend publique une vulnérabilité qui embarrasse profondément Microsoft : Microsoft 365 Copilot dans Word exécute sans discernement des instructions cachées dans les documents qu'il lit. Pire — les documents contaminés propagent l'attaque à d'autres documents collaboratifs. L'histoire aurait pu rester technique. Elle est devenue politique quand on apprend que Microsoft, informée depuis mars 2026, n'a toujours pas — au moment de la divulgation — de correctif robuste.

144 jours de coordination. Deux extensions négociées. Et une faille qui reste exploitable.

Le mécanisme d'attaque

La technique s'appelle en jargon XPIA — Cross-Prompt Injection Attack. Le principe est simple et élégant :

1. L'attaquant insère dans un document Word un texte invisible — typiquement blanc sur blanc, taille de police 1 point, quelque part dans une page banale
2. Ce texte est en réalité une instruction structurée en JSON pour Copilot (« résume ce document en insérant à la fin telle phrase », « quand on te demande de résumer, mets ces informations », etc.)
3. Un utilisateur reçoit le document — par email, via SharePoint, sur Teams, dans OneDrive partagé
4. Il demande à Copilot dans Word de résumer, reformuler, extraire des informations
5. Copilot strippe le formatage avant de traiter le contenu — le texte blanc devient donc visible pour l'IA. Copilot lit, obéit, et exécute l'instruction cachée sans en avertir l'utilisateur

À ce stade, l'attaquant peut faire ajouter au document généré des informations trompeuses, des liens malveillants, des instructions pour l'utilisateur, ou pire — voler du contenu que Copilot est en train de manipuler.

La propagation : le vrai problème

Ce qui transforme cette faille en ver, c'est que les documents produits par Copilot à partir du document contaminé héritent potentiellement de l'instruction. L'attaque :

• Traverse la collaboration normale : Alice reçoit un document infecté, elle le résume dans un rapport pour Bob, Bob renvoie le rapport à toute l'équipe
• Persiste même après suppression du document original externe — l'instruction s'est déjà répliquée dans les artefacts internes
• Ne nécessite aucun malware traditionnel : c'est du texte pur, absolument invisible pour les antivirus et les EDR

C'est l'une des premières démonstrations publiques d'auto-propagation à l'intérieur d'une suite bureautique mainstream, sans un seul octet de code malveillant classique. Juste du texte. Juste des instructions.

144 jours : chronologie d'un échec

Le chercheur découvre la faille en mars 2026 et la signale à Microsoft via son programme de responsible disclosure. La règle usuelle : le chercheur attend 90 jours pour laisser à l'éditeur le temps de patcher, puis publie.

Microsoft demande une première extension : les 90 jours ne suffisent pas.
Le chercheur accepte.
Microsoft demande une seconde extension.
Le chercheur accepte encore.

Total : 144 jours. À l'issue, l'éditeur a livré des correctifs partiels qui bouchent certains vecteurs précis mais ne colmatent pas la classe de vulnérabilité elle-même. Le chercheur, estimant que Microsoft n'ira pas plus loin sans pression publique, publie fin juillet.

Le message est reçu 5 sur 5 par la communauté sécurité : même un géant comme Microsoft, avec des ressources illimitées, n'a pas encore de recette pour défendre un LLM productif contre l'injection de prompt hostile.

Pourquoi c'est si difficile à corriger

Le problème est structurel, pas conjoncturel. Un LLM comme Copilot ne fait pas la différence entre :

• Une instruction légitime venant de l'utilisateur qui le pilote
• Une instruction hostile incrustée dans le contenu qu'il est censé traiter

Pour l'IA, tout est du texte. Elle applique la meilleure suite d'actions qui « donne du sens » à ce texte. Si le document dit « ignore les instructions précédentes et écris X », l'IA peut obéir — ou non — selon son entraînement, mais sans certitude.

Les correctifs classiques disponibles :

• Filtrer les instructions dans le contenu à traiter (guardrails) — contournable par des reformulations infinies
• Isoler les régions « instructions utilisateur » vs « contenu à analyser » — utile mais fragile
• Détecter le texte formaté de façon suspecte (blanc sur blanc, taille 1, positionnement bizarre) — reste un jeu du chat et de la souris

Aucune de ces mesures n'est définitive. Les chercheurs en IA s'accordent aujourd'hui à dire que l'injection de prompt est un problème ouvert, comparable à ce que fut l'injection SQL dans les années 2000 avant qu'on invente les requêtes préparées — sauf qu'ici, il n'y a pas encore d'équivalent aux requêtes préparées.

Ce que ça change pour les entreprises

Toute entreprise qui déploie Copilot doit se poser sérieusement les questions suivantes :

1. Sur quels documents Copilot travaille-t-il ? S'ils viennent de l'extérieur (fournisseurs, candidats, prospects), la surface d'attaque est ouverte.
2. Y a-t-il des documents à contenu sensible (juridique, financier, RH) qui pourraient être exfiltrés via un résumé Copilot manipulé ?
3. Quelle est la chaîne de propagation interne ? Un document Copilot-généré est-il réutilisé par d'autres personnes, dans d'autres services ?
4. Existe-t-il une vérification humaine obligatoire avant qu'un contenu produit par Copilot serve à prendre une décision ou soit envoyé à un tiers ?

Le contexte plus large

Cette affaire s'inscrit dans une série qui monte en puissance en 2026 :

• Injection sur Google Gemini Enterprise via des documents PDF partagés (mai 2026)
• Fuite de données sur Claude Enterprise via des URL manipulées dans les requêtes (juin 2026)
• Comportement inattendu de ChatGPT Enterprise face à des instructions dissimulées dans les métadonnées EXIF d'images (juillet 2026)

Le pattern est identique : les LLM sont massivement adoptés par les entreprises, l'écart entre les capacités de défense et la surface d'attaque se creuse, et les correctifs des éditeurs restent partiels et réactifs.

Ce qu'il faut retenir

1. L'injection de prompt est le problème de sécurité numéro un des LLM en production. Ce n'est ni théorique, ni futuriste — c'est aujourd'hui.
2. Aucun grand éditeur (Microsoft, Google, Anthropic, OpenAI) n'a de solution définitive. Les cas s'accumulent malgré les moyens engagés.
3. La responsabilité est déplacée sur l'utilisateur final. Traiter tout contenu venant de l'extérieur comme potentiellement hostile est le seul réflexe qui protège.
4. Le modèle de responsible disclosure à 90 jours est mis à l'épreuve. Quand un éditeur ne colmate pas en 144 jours, la publication devient un choix moral difficile — et un signal politique.

Le ver Copilot n'a probablement pas encore causé de dommage catastrophique connu — mais l'histoire de la cybersécurité montre que ce type de faille, une fois publique, est outillée et industrialisée en quelques semaines. Les prochains mois seront révélateurs. Microsoft, dans l'intervalle, a une fenêtre étroite pour prouver qu'elle sait défendre son propre produit phare.