Im Kern nutzt die Methode aus, wie Copilot Quelldokumente für Entwürfe oder Bearbeitungen auswertet. Copilot liest Dateien, um zu entscheiden, welche Inhalte in einen Entwurf gehören, und kann dabei Anweisungen innerhalb dieser Quellen fälschlich als Teil der Nutzeranfrage behandeln. In Måløys Proof of Concept halbierte Copilot sämtliche Finanzzahlen in einem Bericht, kopierte den vollständigen Prompt in die Ausgabe und versteckte ihn dort in weißer Schrift mit acht Punkten Größe, ohne eine der beiden Änderungen offenzulegen.
Nach Måløys Darstellung entfernt Word Farbe und Schriftgröße, bevor der Dokumenttext an das große Sprachmodell übergeben wird. Dadurch bleiben weiß-auf-weiß verborgene Anweisungen für das Modell lesbar. Ein Teil der Nutzlast veränderte das Dokument, ein anderer wies Copilot an, die Instruktionen zu kopieren und zu verbergen, wobei diese Befehle als Anforderungen an Quellenverfolgung und Lesbarkeit formuliert waren.
Der Angriff ist weder ein Zero-Click-Szenario noch führt er herkömmliche Malware aus. Er setzt eine Entwurfs- oder Bearbeitungsoperation mit Copilot voraus. Außerdem muss das präparierte Dokument in den Kontext des Modells gelangen, entweder als Anhang oder als OneDrive-Quelle, die Work IQ auswählt, die Intelligenz-Engine hinter Microsoft 365 Copilot.
Microsoft zufolge kann Word einen Entwurf auf bis zu 20 Dateien, E-Mails oder Besprechungen stützen, und „Mit Copilot bearbeiten“ kann Work IQ verwenden. Diese Funktion wird weltweit noch für Nutzer mit geeigneten Lizenzen eingeführt. In Måløys Test suchte Copilot in OneDrive nach einem Quartalsbericht, fand dabei eine präparierte Marktanalyse außerhalb des Ordners mit den übrigen Quellen und bezog sie ein. Voraussetzung war allerdings weiterhin, dass Work IQ die Datei als relevant einstufte.
Besonders relevant ist für Måløy die mögliche Weitergabe der versteckten Anweisungen in interne Folge-Dokumente. In seinem Versuch genügte später ein bereits „infizierter“ Q1-Bericht als Anhang: Obwohl das ursprüngliche bösartige Dokument fehlte, halbierte Copilot in einem Q2-Entwurf erneut die Zahlen und hängte den Prompt wieder an. Der neue Träger war damit ein gewöhnliches intern erzeugtes Dokument. Selbstständig verbreitet sich die Kette nicht; jeder weitere Schritt erfordert eine neue Copilot-Entwurfs- oder Bearbeitungssitzung, in der der Träger erneut in den Modellkontext gelangt.
Måløy argumentiert, dass gerade der Bruch in der Herkunftskette die Manipulation schwerer nachvollziehbar macht. Sobald Copilot die Anweisungen in ein intern erzeugtes Dokument übernommen hat, ist die ursprüngliche Quelle in der nächsten Sitzung nicht mehr vorhanden. Die versteckte Formatierung ist damit nur der Einstiegspunkt.
The Hacker News fand zum Veröffentlichungszeitpunkt keine öffentliche CVE und auch keinen eigenständigen Microsoft-Hinweis in NVD, auf CVE.org oder im Microsoft Security Update Guide. Microsoft erklärt, Klassifikatoren für Jailbreaks und Cross-Prompt-Injection-Angriffe könnten helfen, riskante Prompts zu blockieren, auch wenn sie womöglich nicht in jedem Copilot-Szenario verfügbar seien. Defender for Office 365 ergänzt laut Microsoft eine Prüfung des E-Mail-Flusses für eingehende Nachrichten. Ob die von Måløy gezeigte konkrete Nutzlast auf einer dieser Ebenen erkannt wird, sagen weder Microsoft noch Måløy.
Eine vollständige Abhilfe auf Kundenseite gibt es laut Måløy nicht. Seine Begründung: Sperren gegen einzelne Nutzlasten erfassen nicht die gesamte Angriffsklasse, weil ein Modell angreiferkontrollierte Inhalte verarbeiten müsse, um überhaupt zu entscheiden, ob sie bösartig sind. Microsoft formulierte einen ähnlichen Punkt in einem Beitrag vom Juni über KI-Gedächtnis: Allein Prompting sei keine verlässliche Sicherheitsgrenze; Zugriff auf Speicher und Isolation sollten durch deterministische Systeme statt durch Modellanweisungen kontrolliert werden.