นักวิจัยด้านความปลอดภัย Håkon Måløy เปิดเผยช่องโหว่ Cross-domain Prompt Injection ใน Microsoft Copilot for Word ภายใต้ชื่อ "Context Collapse, Part 3 – AI Worming through Word" ซึ่งแสดงให้เห็นว่าเอกสาร Word สามารถกลายเป็นพาหะของคำสั่งแฝงที่คัดลอกตัวเองไปยังเอกสารใหม่ได้อย่างต่อเนื่อง มีลักษณะคล้าย AI Worm ที่แพร่กระจายผ่าน Workflow การทำงานเอกสารปกติในองค์กร
กลไกการโจมตี
ขั้นตอนที่ 1: การฝังคำสั่งแฝง
ผู้โจมตีฝังคำสั่งภาษาธรรมชาติที่เป็นอันตรายไว้ในเอกสารต้นทาง โดยซ่อนด้วยเทคนิคง่ายๆ คือใช้ตัวอักษรสีขาวบนพื้นสีขาว (White-on-White Text) ร่วมกับขนาดตัวอักษรที่เล็กมาก ทำให้มองไม่เห็นด้วยตาเปล่าเมื่อเปิดเอกสารตามปกติ
ขั้นตอนที่ 2: การประมวลผลโดย Copilot
เมื่อผู้ใช้งานขอให้ Copilot for Word ร่างหรือแก้ไขเนื้อหาโดยอ้างอิงจากเอกสารที่มีคำสั่งแฝง Copilot จะดึงข้อความออกมาประมวลผลโดยไม่รักษารูปแบบการแสดงผลไว้ ทำให้คำสั่งที่ซ่อนอยู่ในรูปแบบตัวอักษรที่มองไม่เห็น ยังคงถูกดึงออกมาและประมวลผลเป็นส่วนหนึ่งของคำขอผู้ใช้งานอยู่ดี
ขั้นตอนที่ 3: การกระทำตามคำสั่งแฝงและการแพร่กระจาย
Copilot ปฏิบัติตามคำสั่งที่ซ่อนอยู่ ซึ่งในกรณีทดสอบของนักวิจัยประกอบด้วยสองส่วน คือคำสั่งให้แก้ไขเอกสารที่กำลังร่างอยู่ (ตัวอย่างที่สาธิตคือการลดตัวเลขทางการเงินในรายงานรายไตรมาสลงครึ่งหนึ่งโดยผู้ใช้งานไม่รู้ตัว) และคำสั่งให้คัดลอกคำสั่งแฝงทั้งหมดไปฝังไว้ในเอกสารใหม่ที่สร้างขึ้น พร้อมซ่อนด้วยเทคนิคเดียวกัน ทำให้คำสั่งอันตรายแพร่กระจายต่อเนื่องผ่าน Workflow การส่งต่อเอกสารปกติขององค์กร โดยไม่ต้องอาศัยการโจมตีระบบโดยตรงแต่อย่างใด
สถานะการแก้ไขจาก Microsoft
Microsoft ยืนยันพฤติกรรมที่ถูกรายงานแล้ว และได้ออกมาตรการบรรเทาผลกระทบ 2 รูปแบบ ได้แก่ การบล็อกคำสั่งต้นแบบที่ใช้ในการทดสอบ และการอัปเกรดโมเดลที่ใช้งานเป็น GPT-5.5
อย่างไรก็ตาม Exploit Chain ยังคงทำงานได้สำเร็จกับคำสั่งที่ปรับแก้เล็กน้อยบน GPT-5.6 ในวันถัดมา และช่องโหว่กลุ่มนี้ยังคงสามารถ Reproduce ได้จนถึงวันที่ 28 กรกฎาคม 2026 ซึ่งเป็นช่วงเวลาที่ใกล้เคียงกับการเผยแพร่รายงานนี้ หมายความว่าช่องโหว่ยังคงมีความเสี่ยงอยู่ ณ ปัจจุบัน
ผลกระทบที่อาจเกิดขึ้น
- เอกสารทางธุรกิจที่สำคัญอาจถูกแก้ไขเนื้อหาโดยผู้ใช้งานไม่รู้ตัว เช่น ตัวเลขทางการเงิน ข้อมูลสัญญา หรือเนื้อหาสำคัญอื่นๆ ที่ Copilot ช่วยร่างหรือแก้ไข
- ความเสี่ยงแพร่กระจายในวงกว้างผ่าน Workflow การส่งต่อเอกสารปกติขององค์กร โดยไม่ต้องอาศัยการโจมตีระบบเครือข่ายหรือช่องโหว่ทางเทคนิคอื่นเพิ่มเติม
- ตรวจจับได้ยากด้วยตาเปล่า เนื่องจากคำสั่งแฝงถูกซ่อนด้วยเทคนิคที่มองไม่เห็นในการอ่านเอกสารตามปกติ
- ช่องโหว่ยังคง Reproduce ได้อยู่ ณ ขณะเผยแพร่รายงาน แม้ Microsoft จะออกมาตรการบรรเทาเบื้องต้นแล้วก็ตาม
สิ่งที่องค์กรควรทำ
- ตรวจสอบเอกสารที่ได้รับจากภายนอกก่อนนำเข้าสู่ Workflow ที่ใช้ Copilot for Word ประมวลผล โดยเฉพาะเอกสารจากแหล่งที่ไม่คุ้นเคยหรือไม่สามารถยืนยันแหล่งที่มาได้
- ติดตามประกาศ Mitigation เพิ่มเติมจาก Microsoft อย่างใกล้ชิด เนื่องจากช่องโหว่กลุ่มนี้ยังคง Reproduce ได้อยู่ ณ ขณะเผยแพร่ และอาจมีการอัปเดตมาตรการป้องกันเพิ่มเติม
- ตรวจสอบเอกสารสำคัญที่ผ่านการแก้ไขด้วย Copilot อย่างละเอียด ว่ามีเนื้อหาผิดปกติ เช่น ตัวเลขที่เปลี่ยนแปลงโดยไม่มีคำอธิบาย หรือข้อความที่ซ่อนอยู่ในรูปแบบตัวอักษรที่มองไม่เห็นหรือไม่
- พิจารณาจำกัดการใช้งาน Copilot for Word กับเอกสารที่มีความสำคัญสูงเป็นการชั่วคราว จนกว่า Microsoft จะยืนยันว่าช่องโหว่ได้รับการแก้ไขอย่างสมบูรณ์
แนวทางลดความเสี่ยงระยะยาว
1. จัดทำนโยบายการใช้งาน AI Assistant สำหรับเอกสารที่มาจากแหล่งภายนอก
กำหนดขั้นตอนตรวจสอบเอกสารก่อนนำเข้าสู่กระบวนการที่ใช้ AI ประมวลผล โดยเฉพาะเอกสารที่ส่งต่อมาจากบุคคลภายนอกองค์กร
2. ใช้เครื่องมือตรวจจับข้อความซ่อน (Hidden Text) ในเอกสารก่อนนำเข้าสู่ Workflow ที่มี AI เกี่ยวข้อง
เพื่อกรองเอกสารที่มีความเสี่ยงออกก่อนที่จะถูกประมวลผลโดย Copilot หรือเครื่องมือ AI อื่น
3. ติดตามงานวิจัยด้าน Prompt Injection และ AI Worm อย่างต่อเนื่อง
เนื่องจากเป็นความเสี่ยงประเภทใหม่ที่ยังอยู่ระหว่างการพัฒนามาตรการป้องกันในอุตสาหกรรม และมีแนวโน้มพบรูปแบบการโจมตีที่หลากหลายขึ้นเรื่อยๆ
4. ตรวจสอบผลลัพธ์ที่ AI สร้างหรือแก้ไขก่อนนำไปใช้งานจริงเสมอ (Human-in-the-loop)
โดยเฉพาะเอกสารที่มีตัวเลขสำคัญทางการเงินหรือข้อมูลที่มีผลกระทบทางธุรกิจสูง ไม่ควรเชื่อผลลัพธ์จาก AI โดยไม่มีการตรวจสอบจากมนุษย์
วิเคราะห์ในมุมมองจาก TXEC
เหตุการณ์นี้สะท้อนความเสี่ยงประเภทใหม่ที่มาพร้อมกับการนำ AI Assistant มาผนวกเข้ากับเครื่องมือทำงานเอกสารที่ใช้งานกันอย่างแพร่หลายในองค์กร ความน่ากังวลไม่ได้อยู่ที่การโจมตีระบบโดยตรง แต่อยู่ที่การใช้ประโยชน์จาก Workflow การทำงานปกติที่พนักงานทำเป็นประจำทุกวัน คือการเปิดเอกสาร ขอให้ AI ช่วยร่างหรือแก้ไข แล้วส่งต่อเอกสารนั้นให้ผู้อื่น
TXEC มองว่าจุดที่สำคัญที่สุดของเหตุการณ์นี้คือการที่ Exploit Chain ยังคง Reproduce ได้แม้ Microsoft จะออกมาตรการบรรเทาเบื้องต้นแล้ว สะท้อนว่าการป้องกัน Prompt Injection ในเครื่องมือ AI ยังเป็นความท้าทายที่อุตสาหกรรมโดยรวมยังไม่มีทางแก้ไขที่สมบูรณ์ องค์กรที่ใช้งาน Copilot หรือเครื่องมือ AI ในลักษณะเดียวกันควรมีกระบวนการ Human-in-the-loop ตรวจสอบผลลัพธ์ก่อนนำไปใช้งานจริงเสมอ ไม่ควรพึ่งพามาตรการป้องกันจากผู้ให้บริการเพียงอย่างเดียว
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: GBHackers, CyberSecurityNews, Malwarebytes, The Hacker News, CyberInsider ]