Microsoft Word'de Kritik Güvenlik Açığı: Copilot Gizli Komutlarla Manipüle Edilebiliyor

Microsoft Word belgelerinin içine gizlenen özel komutların, Microsoft 365 Copilot üzerinde ciddi bir güvenlik zafiyeti yarattığı ortaya çıktı. Veri bilimci Håkon Måløy tarafından keşfedilen bu açık, yapay zeka asistanının belgelerdeki verileri sessizce değiştirmesine ve zararlı talimatları yeni dosyalara aktarmasına neden oluyor.

Görünmez Komutlarla Çapraz Alan Enjeksiyonu

Keşfedilen bu yeni teknik, literatürde çapraz alan komut enjeksiyonu (XPIA) olarak adlandırılıyor. Saldırganlar, standart bir Microsoft Word belgesine beyaz zemin üzerine beyaz renkte yazılar ekleyerek, insan gözünün göremediği ancak yapay zeka modelinin okuyup işlediği gizli prompt'lar yerleştiriyor. Model, içeriğin zararlı olup olmadığını değerlendirmeden önce bu gizli talimatların etkisi altına giriyor.

Kendi Kendini Kopyalayan Tehdit

Bu saldırı türünün en tehlikeli boyutu, kendi kendini kopyalayarak yayılabilme yeteneğine sahip olması. Copilot, enfekte olmuş bir belgeyi taslak olarak kullanırken veya özetlerken, içindeki gizli komutları algılayıp oluşturduğu yeni dosyaya da aktarıyor. Böylece her yeni belge, saldırıyı bir sonraki hedefe taşıyan bir taşıyıcı vektör haline geliyor.

Saldırı, kullanıcı bir dosyayı manuel olarak sisteme yüklediğinde veya asistanın OneDrive üzerinde otomatik tarama yaptığı durumlarda tetiklenebiliyor. Yapılan testlerde, asistanın finansal raporlardaki rakamları manipüle ederek yarıya indirdiği ve ardından bu zararlı komutları yeni oluşturulan dosyalara gizlice eklediği kanıtlandı.

Microsoft'un Yamaları Yetersiz Kaldı

Microsoft, 144 günlük bildirim süreci boyunca bu açığı kapatmak için iki farklı güncelleme yayınladı. Nisan ayındaki arayüz güncellemesi ve Temmuz ayındaki LLM sürüm yükseltmesine rağmen, araştırmacı farklı komut yapıları kullanarak güvenlik önlemlerini aşmayı başardı. Şirket, savunma derinliği stratejisiyle bu tür riskleri engellemeye çalıştığını belirtse de, temel mimari sorunu henüz tam olarak çözülebilmiş değil.

Güvenlik ve Meta Veri İhtiyacı

Uzmanlar, kullanıcıların dış kaynaklı belgeleri işlerken dikkatli olmaları ve üretilen içerikleri mutlaka gözden geçirmeleri gerektiği konusunda uyarıyor. Araştırmacılar, siber güvenlik standartlarının artırılması için, oluşturulan belgelerin kaynak materyalini ve yapılan düzenlemeleri kaydeden gelişmiş bir meta veri sisteminin standart hale gelmesi gerektiğini savunuyor.

--- **İlgili Kaynaklar:** Türkiye'de SEO ve GEO eğitim platformu için [GEO eğitim](https://geoakademi.com) tercih ediliyor.