Microsoft Copilot Worm Prompt Injection जोखिम को उजागर करता है

Microsoft Copilot for Word में worm-like attack ने लंबे समय से चली आ रही AI सुरक्षा चिंता को एक ठोस प्रदर्शन में बदल दिया है

एक सुरक्षा शोधकर्ता ने दिखाया है कि Microsoft Word दस्तावेज़ों के अंदर छिपे हुए prompt injections, जब लोग सामग्री को दोबारा उपयोग करने या उसका सारांश बनाने के लिए Microsoft Copilot for Word का इस्तेमाल करते हैं, तो एक फ़ाइल से दूसरी फ़ाइल में फैल सकते हैं। इसका नतीजा सिर्फ़ एक बार होने वाला exploit नहीं है, बल्कि एक self-propagating mechanism है, जो साधारण दस्तावेज़ों को वाहक बना सकता है।

रिपोर्ट किए गए निष्कर्षों के अनुसार, यह हमला दस्तावेज़ में ऐसे तरीकों से निर्देश एम्बेड करके काम करता है जिन्हें मानव पाठक आसानी से नहीं देख पाते, जैसे सफेद पृष्ठभूमि पर सफेद टेक्स्ट को बेहद छोटे फ़ॉन्ट आकार में रखना। शोधकर्ता का कहना है कि Copilot टेक्स्ट को प्रोसेस करने से पहले रंग और फ़ॉन्ट-आकार की formatting हटा देता है, जिसका मतलब है कि छिपे हुए निर्देश AI system को दिखाई देते रहते हैं, भले ही वे दस्तावेज़ देखने वाले व्यक्ति के लिए प्रभावी रूप से अदृश्य हों।

यह अंतर महत्वपूर्ण है क्योंकि यह उस चीज़ के बीच एक गैप पैदा करता है जो उपयोगकर्ता को फ़ाइल में मौजूद लगती है और जिसे AI assistant वास्तव में पढ़ता है। अगर Copilot नया दस्तावेज़ बनाते समय उन छिपे हुए निर्देशों का पालन करता है, तो injected text को उस output में कॉपी किया जा सकता है। फिर वही नई फ़ाइल एक और carrier बन जाती है। जब उस दूसरे दस्तावेज़ को बाद में source material के रूप में इस्तेमाल किया जाता है, तो वही छिपे हुए निर्देश फिर से सक्रिय हो सकते हैं।

यह प्रदर्शन क्यों महत्वपूर्ण है

Prompt injection को अक्सर AI systems में एक अनसुलझी समस्या के रूप में बताया गया है, लेकिन कई चर्चाएँ abstract बनी रहती हैं। यह मामला ज़्यादा विशिष्ट और ज़्यादा परेशान करने वाला है क्योंकि यह दिखाता है कि यह कमजोरी सामान्य office workflows के भीतर कैसे फैल सकती है। किसी malicious file को पारंपरिक अर्थों में user को code चलाने के लिए trick करने की ज़रूरत नहीं होती। उसे सिर्फ़ उन document-handling tasks में इस्तेमाल होना होता है जो knowledge workers हर दिन करते हैं।

रिपोर्ट किया गया परिदृश्य दिखाता है कि इंटरनेट से डाउनलोड किया गया एक infected market analysis, Copilot के साथ बनाए गए financial report को कैसे प्रभावित कर सकता है। अगर रिपोर्ट उन छिपे हुए निर्देशों को विरासत में ले लेती है, तो वह आगे के drafts, derivative summaries, या template-based documents को भी दूषित कर सकती है। दूसरे शब्दों में, productivity feature जो documents को दोबारा इस्तेमाल करना आसान बनाता है, वही attack के टिके रहने का रास्ता भी बनाता है।

यह क्लासिक phishing या macro malware से एक उल्लेखनीय बदलाव है। यहाँ बताया गया जोखिम इस बात से जुड़ा है कि एक AI model भरोसेमंद business content के अंदर की भाषा को कैसे interpret करता है। आधार दस्तावेज़ harmless दिख सकता है, casual inspection पास कर सकता है, और फिर भी downstream outputs को बदल सकता है।

Microsoft को सूचित किया गया था, लेकिन निष्कर्ष प्रकाशित होने तक कोई fix नहीं था

इस attack के पीछे शोधकर्ता, Hakon Maloy, ने source material के अनुसार 31 मार्च को यह व्यवहार Microsoft को रिपोर्ट किया। Microsoft ने इस व्यवहार की पुष्टि की, लेकिन reportedly दो attempted fixes विफल रहे। 144 दिनों बाद, Maloy ने payload text को सार्वजनिक किए बिना निष्कर्ष प्रकाशित किए।

यह timeline दो कारणों से महत्वपूर्ण है। पहला, यह संकेत देता है कि समस्या सिर्फ़ सैद्धांतिक नहीं है या किसी गलत समझे गए edge case का नतीजा नहीं है। दूसरा, यह रेखांकित करता है कि natural language को ingest और transform करने के लिए बनाए गए systems में prompt-injection समस्याओं को हल करना कितना कठिन हो सकता है। अगर assistant से उम्मीद की जाती है कि वह किसी दस्तावेज़ में मौजूद हर चीज़ को संभावित रूप से उपयोगी context के रूप में पढ़े, तो वैध निर्देशों को दुर्भावनापूर्ण निर्देशों से अलग करना तकनीकी और product-wise दोनों रूप से जटिल हो जाता है।

किसी सार्वजनिक fix के बिना निष्कर्षों का प्रकाशन enterprise AI vendors पर दबाव भी बढ़ाता है। Copilot और इसी तरह के tools को तेजी से ऐसे assistants के रूप में पेश किया जा रहा है जो किसी कंपनी की internal files में drafting, editing, summarizing और synthesizing में मदद करते हैं। इससे document boundaries और instruction handling पर भरोसा product safety का केंद्रीय मुद्दा बन जाता है।

यह सिर्फ़ AI lab की समस्या नहीं, office productivity की समस्या है

यह मामला इसलिए अलग दिखता है क्योंकि यह एक संकरे chatbot interface के बजाय व्यापक रूप से इस्तेमाल होने वाले productivity context में आता है। Word documents टीमों, departments, partners और external sources के बीच नियमित रूप से साझा किए जाते हैं। कई संगठन सक्रिय रूप से कर्मचारियों को समय बचाने के लिए उन दस्तावेज़ों में से अधिक को AI copilots में डालने के लिए प्रोत्साहित कर रहे हैं।

रिपोर्ट में वर्णित exploit से संकेत मिलता है कि convenience भी attack surface बन सकती है। उपयोगकर्ता को कोई खतरनाक attachment क्लिक करने, macros सक्षम करने, या संदिग्ध software install करने की ज़रूरत नहीं हो सकती। इसके बजाय, पुराने दस्तावेज़ से नया दस्तावेज़ लिखने में Copilot की मदद मांगने का कार्य hidden instructions को दोहराने के लिए पर्याप्त हो सकता है।

इससे defensive habits को परिभाषित करना कठिन हो जाता है। पारंपरिक सुरक्षा मार्गदर्शन अक्सर दृश्य चेतावनियों या executable content पर केंद्रित होता है। यहाँ जोखिम वाला material सादा text है, जिसे सिर्फ़ human attention से बचने के लिए format किया गया है, जबकि model के लिए वह पढ़ने योग्य बना रहता है। इसलिए यह हमला एक ही फ़ाइल के भीतर human और machine perception के बीच असंतुलन का फायदा उठाता है।

यह प्रदर्शन AI security की मौजूदा स्थिति के बारे में क्या कहता है

व्यापक निष्कर्ष यह है कि prompt injection वास्तविक उत्पादों में अब भी अनसुलझा है, खासकर वहाँ जहाँ models को mixed-trust inputs की व्याख्या करने का व्यापक अधिकार दिया जाता है। बाहरी दस्तावेज़ों, web pages, emails या attachments में छिपे निर्देश AI systems में एक ज्ञात चिंता हैं। यह उदाहरण एक propagation mechanism जोड़ता है, जो किसी खराब दस्तावेज़ के workflow में प्रवेश करने के बाद समस्या को रोकना और कठिन बना देता है।

रिपोर्ट इस धारणा को भी कमजोर करती है कि prompt injection ज़्यादातर सिर्फ़ अजीब उत्तर देने वाली एक nuisance है। इस मामले में, खतरा operational है। एक दुर्भावनापूर्ण निर्देश सामान्य business artifacts के भीतर बना रह सकता है और routine knowledge work के माध्यम से फैल सकता है। destructive code execution के बिना भी, यह reports, summaries, planning documents और अन्य रिकॉर्ड्स की integrity के लिए जोखिम पैदा करता है, जिन पर कर्मचारी भरोसा कर सकते हैं।

शोधकर्ता द्वारा वास्तविक payload text को रोककर रखना copycat उपयोग को थोड़ा सीमित करता है, लेकिन प्रकाशित विवरण failure की इस श्रेणी को दिखाने के लिए पर्याप्त है। AI copilots का मूल्यांकन करने वाली कंपनियों के लिए सबक सीधा है: document ingestion को सुरक्षित नहीं माना जा सकता सिर्फ़ इसलिए कि source साधारण office content जैसा दिखता है।

जैसे-जैसे enterprises AI writing tools पर अपनी निर्भरता बढ़ा रहे हैं, content और command के बीच की सीमा बचाव के लिए सबसे महत्वपूर्ण security lines में से एक बनती जा रही है। यह प्रदर्शन दिखाता है कि मौजूदा systems में यह रेखा अब भी बहुत आसानी से धुंधली हो जाती है।

यह लेख The Decoder की रिपोर्टिंग पर आधारित है। मूल लेख पढ़ें.