Microsoft 365 Copilot İçin Kritik Word Açığı: Gizli Komutlar Belgeler Arasında Yayılabiliyor

Teknoloji Haberleri - Microsoft 365 Copilot üzerinde tespit edilen yeni güvenlik açığı, Microsoft Word belgelerine gizlenen görünmez komutların yapay zekâyı etkileyerek içerikleri değiştirmesine ve aynı talimatları yeni dosyalara taşımasına neden olabiliyor. İşte araştırmanın ortaya koyduğu teknik ayrıntılar ve olası riskler.

Microsoft 365 Copilot, Microsoft Word belgelerine yerleştirilen görünmez komutlar nedeniyle yeni bir güvenlik tartışmasının merkezine yerleşti. Güvenlik araştırmacısı ve veri bilimci Håkon Måløy tarafından paylaşılan teknik analiz, Word dosyalarının içerisine gizlenen talimatların Copilot’ın belgeyi yorumlama biçimini etkileyebildiğini ve oluşturulan yeni belgelerde aynı komutların fark edilmeden taşınabildiğini gösteriyor. Araştırmacının yayımladığı çalışma, üretken yapay zekâ sistemlerinin yalnızca kötü amaçlı kodlardan değil, doğal dilde yazılmış görünmez komutlardan da etkilenebileceğini ortaya koyuyor. Microsoft ise güvenlik mekanizmalarını güçlendirmek amacıyla farklı güncellemeler yayımladığını belirtirken, araştırmacı çeşitli tekniklerle aynı davranışın yeniden üretilebildiğini ifade ediyor.

Üretken yapay zekâ sistemleri son iki yılda belge hazırlama, içerik düzenleme ve rapor oluşturma gibi iş akışlarının önemli bir parçası haline geldi. Microsoft 365 Copilot da Word, Excel, PowerPoint ve Outlook gibi uygulamalar içerisinde kullanıcı adına içerik üretme ve mevcut belgeleri düzenleme yeteneğiyle milyonlarca kurumsal kullanıcıya hizmet veriyor. Bu nedenle yapay zekâyı doğrudan hedef alan yeni saldırı yöntemleri yalnızca tek bir belgeyi değil, şirketlerin tüm doküman ekosistemini etkileyebilecek potansiyele sahip görülüyor.

Görünmez Yazılar Yapay Zekâyı Hedef Alıyor

Araştırmada kullanılan yöntem klasik bir zararlı yazılım tekniğine dayanmıyor. Bunun yerine saldırgan, Word belgesinin içerisine kullanıcı tarafından fark edilmesi oldukça güç olan metinler yerleştiriyor. Beyaz arka plan üzerine beyaz renkte yazılan bu ifadeler belgeyi okuyan kişi tarafından görülmese de büyük dil modeli bu metni normal içerik gibi değerlendirebiliyor.

İnsan gözü açısından boş görünen satırlar, yapay zekâ açısından birer komut haline geliyor. Böylece Copilot belgeyi analiz etmeye başladığında, kullanıcının istemediği ek talimatlar da modele ulaşmış oluyor. Bu yaklaşım, güvenlik literatüründe Çapraz Alan Komut Enjeksiyonu (Cross-Prompt Injection Attack – XPIA) olarak adlandırılıyor ve son dönemde üretken yapay zekâ platformları için en fazla araştırılan saldırı yöntemlerinden biri olarak öne çıkıyor.

Buradaki temel sorun, yapay zekânın belge içerisinde yer alan bilgileri yalnızca veri olarak değil, aynı zamanda yerine getirilmesi gereken komutlar olarak da değerlendirebilmesi. Eğer model bu iki içerik türünü güvenilir biçimde ayıramazsa, saldırgan tarafından eklenen görünmez talimatlar normal kullanıcı isteğinin önüne geçebiliyor.

Sorun Zararlı Makro Değil, Doğrudan Yapay Zekâ Mantığı

Microsoft Office güvenliği denildiğinde akla uzun yıllardır VBA makroları, kötü amaçlı eklentiler veya zararlı script dosyaları geliyor. Bu olayda ise herhangi bir çalıştırılabilir kod bulunmuyor.

Belge tamamen standart Word formatında hazırlanabiliyor. İçerisinde zararlı yazılım, makro veya şüpheli ek dosya bulunmasa bile yalnızca görünmez metinler kullanılarak Copilot’ın davranışının değiştirilebildiği gösteriliyor.

Bu ayrıntı saldırıyı daha dikkat çekici hale getiriyor. Çünkü mevcut antivirüs çözümleri çoğunlukla çalıştırılabilir kodları, imzaları veya bilinen zararlı davranışları tespit etmeye odaklanıyor. Doğal dil kullanılarak hazırlanan görünmez komutlar ise klasik güvenlik filtrelerinin kapsamına girmeyebiliyor.

Başka bir ifadeyle burada hedef alınan şey işletim sistemi veya Word uygulaması değil, doğrudan yapay zekâ modelinin karar verme süreci oluyor.

Belgeler Arasında Yayılabilen Bir Davranış Ortaya Konuldu

Araştırmanın en dikkat çekici yönlerinden biri ise saldırının yalnızca tek bir belgeyle sınırlı kalmaması.

Yapılan testlerde Copilot’ın mevcut belgeyi temel alarak yeni bir rapor hazırladığı veya taslak oluşturduğu senaryolarda, görünmez komutların yeni oluşturulan dosyaya da aktarılabildiği gözlemlendi.

Bu durum klasik bilgisayar virüsleriyle birebir aynı çalışma mantığına sahip olmasa da belgeler arasında davranışın taşınabilmesi nedeniyle güvenlik uzmanlarının dikkatini çekiyor.

Araştırmacının yayımladığı örneklerde Copilot, finansal raporlardaki bazı sayısal değerleri değiştirecek şekilde yönlendirildi. Daha sonra hazırlanan yeni belgelerde de aynı gizli talimatların yer almaya devam ettiği görüldü. Böylece kullanıcı farkında olmadan değiştirilmiş içerikleri farklı ekiplerle paylaşabilecek bir senaryo ortaya çıkmış oldu.

Kurumsal şirketlerde Copilot’ın rapor hazırlama, teklif oluşturma, yönetim sunumu hazırlama veya sözleşme taslağı üretme gibi görevlerde kullanıldığı düşünüldüğünde, görünmez komutların yanlış kararların alınmasına neden olabilecek içerikler üretme ihtimali güvenlik açısından önemli bir risk oluşturuyor.

Kendi Kendini Çoğaltabilen Belgeler Neden Endişe Yaratıyor?

Üretken yapay zekâ sistemlerine yönelik bugüne kadarki saldırıların büyük bölümü tek oturumluk etkileşimler üzerine kuruluydu. Kullanıcı sohbet penceresine zararlı bir istem gönderiyor, model de buna göre beklenmeyen bir yanıt üretiyordu. Håkon Måløy’un ortaya koyduğu yöntemde ise etki yalnızca tek bir sohbetle sınırlı kalmıyor.

Copilot, üzerinde çalıştığı belgeyi referans alarak yeni içerik hazırladığında görünmez talimatlar yeni dosyanın içine de taşınabiliyor. Böylece başlangıçta yalnızca tek bir Word belgesinde bulunan komutlar, zaman içerisinde farklı raporlara, toplantı notlarına veya şirket içi dokümanlara aktarılabiliyor.

Bu durum klasik anlamda çalışan bir bilgisayar solucanıyla aynı mekanizmaya sahip olmasa da güvenlik uzmanları tarafından “belge tabanlı yayılma” davranışı olarak değerlendiriliyor. Çünkü burada çoğalan unsur zararlı yazılım değil, yapay zekâyı yönlendiren görünmez doğal dil komutları oluyor.

Kurumsal ortamlarda aynı belge onlarca çalışan tarafından yeniden düzenlenebiliyor. Copilot destekli üretim süreçlerinde hazırlanan her yeni dosyanın önceki belgeden içerik devralması ise görünmez komutların organizasyon içinde beklenmedik şekilde dolaşmasına zemin hazırlayabiliyor.

OneDrive Entegrasyonu Risk Alanını Daha Da Büyütüyor

Microsoft 365 Copilot yalnızca kullanıcının açık tuttuğu Word dosyasıyla çalışmıyor. Kullanıcının verdiği izne bağlı olarak OneDrive ve SharePoint üzerindeki belgeleri de analiz ederek bağlamsal bilgiler toplayabiliyor.

Araştırmada dikkat çekilen senaryolardan biri de tam olarak bu entegrasyon yapısı.

Eğer kullanıcı Copilot’a belirli bir rapor hazırlatırken sistem OneDrive üzerindeki ilgili belgeleri otomatik olarak tarıyorsa, görünmez komut içeren bir dosya model tarafından güvenilir kaynaklardan biri olarak değerlendirilebiliyor.

Bu noktada saldırının başarısı, kullanıcının kötü amaçlı dosyayı açmasından ziyade Copilot’ın belgeyi okuma sürecine dahil etmesine bağlı hale geliyor.

Kurumsal şirketlerde binlerce Word belgesinin aynı depolama alanında tutulduğu düşünüldüğünde, tek bir zararlı içerikli dosyanın üretken yapay zekâ iş akışlarını etkileyebilmesi önemli bir güvenlik başlığı olarak değerlendiriliyor.

Finansal Belgeler Üzerindeki Testler Çarpıcı Sonuçlar Verdi

Araştırmacının yayımladığı örneklerden biri finansal raporlar üzerinde gerçekleştirildi.

Hazırlanan Word dosyasına görünmez komutlar yerleştirildiğinde Copilot’ın rapordaki bazı finansal değerleri sistematik biçimde değiştirdiği gözlemlendi. Test senaryosunda model, belirli rakamları yarıya indirecek şekilde yönlendirildi ve bunu kullanıcıdan bağımsız olarak uyguladı.

Daha dikkat çekici nokta ise düzenleme işlemi tamamlandıktan sonra hazırlanan yeni Word dosyasında aynı görünmez komutların da bulunmaya devam etmesiydi.

Bu durum, yapay zekâ tarafından oluşturulan belgelerin yalnızca içerik doğruluğu açısından değil, arka planda taşınan görünmez metinler bakımından da incelenmesi gerektiğini gösteriyor.

Elbette bu senaryo kontrollü laboratuvar ortamında gerçekleştirildi. Gerçek dünyada aynı tekniğin başarı oranı kullanılan istemlere, belge yapısına ve Copilot sürümüne göre değişebiliyor. Buna rağmen araştırma, üretken yapay zekâ sistemlerinin güvenilmeyen belgeleri işlerken nasıl etkilenebileceğine dair somut bir örnek sunuyor.

Microsoft İki Ayrı Güncelleme Yayımladı

Araştırmacı, güvenlik açığını Microsoft’a sorumlu açıklama süreci kapsamında yaklaşık 144 gün öncesinden bildirdiğini aktarıyor.

Bu süreçte Microsoft iki farklı iyileştirme yayımladı.

İlk güncelleme Nisan ayında “Edit with Copilot” deneyimini hedef aldı. Amaç, belge içerisinde yer alan komutların model üzerindeki etkisini azaltacak yeni filtreleme mekanizmalarını devreye almaktı.

İkinci güncelleme ise Temmuz ayında Copilot’ın kullandığı temel model altyapısının GPT-5.5 sürümüne geçirilmesiyle gerçekleştirildi. Microsoft, yeni modelle birlikte istem manipülasyonlarına karşı daha güçlü koruma katmanlarının devreye alındığını belirtti.

Buna karşın Måløy, farklı komut kalıpları ve yeni istem yapıları kullanarak benzer davranışların yeniden üretilebildiğini ifade ediyor. Bu durum güvenlik dünyasında uzun süredir bilinen önemli bir gerçeği yeniden gündeme getiriyor.

Üretken yapay zekâ sistemlerinde tek seferlik düzeltmeler çoğu zaman yeterli olmuyor. Bir saldırı tekniği engellendiğinde farklı cümle yapıları, yeni bağlamsal ifadeler veya alternatif istem yöntemleriyle aynı davranış tekrar oluşturulabiliyor.

Bu nedenle araştırmacılar, yalnızca belirli ifadeleri engelleyen filtreler yerine yapay zekânın güvenilmeyen içerikleri değerlendirme mantığını değiştiren daha kapsamlı çözümler üzerinde çalışılması gerektiğini savunuyor.

Sorunun Temelinde Büyük Dil Modellerinin Çalışma Mantığı Bulunuyor

Bu güvenlik açığını önemli hale getiren nokta yalnızca Copilot değil.

Benzer riskler farklı üretken yapay zekâ platformlarında da uzun süredir araştırılıyor. Büyük dil modelleri kendilerine verilen metni yorumlarken hangi kısmın kullanıcı verisi, hangi kısmın talimat olduğu ayrımını her zaman kusursuz şekilde yapamıyor.

İnsan açısından yalnızca okunacak bilgi niteliğinde görünen bir metin, model açısından yerine getirilmesi gereken yeni bir görev olarak algılanabiliyor.

İşte prompt injection olarak bilinen saldırılar tam da bu davranıştan yararlanıyor.

Akademik çalışmalar ve güvenlik araştırmaları, istem enjeksiyonu saldırılarının üretken yapay zekâ ekosistemindeki en önemli güvenlik başlıklarından biri haline geldiğini gösteriyor. Özellikle kurumsal sistemlerde birden fazla veri kaynağına erişebilen yapay zekâ yardımcılarında bu tür saldırılar çok daha geniş etki alanına ulaşabiliyor.

Tam Koruma Sağlamak Neden Bu Kadar Zor?

Üretken yapay zekâ sistemleri geliştikçe güvenlik mimarileri de aynı hızla değişmek zorunda kalıyor. Klasik yazılımlarda kullanıcı girdisi ile çalıştırılacak komutlar birbirinden kesin sınırlarla ayrılabiliyor. Büyük dil modellerinde ise tüm bilgiler doğal dil olarak işlendiği için bu ayrım çok daha karmaşık hale geliyor.

Bir Word belgesindeki paragraf, dipnot, yorum veya görünmez metin teknik olarak aynı içerik akışının parçası olarak değerlendirilebiliyor. Eğer model bu içeriklerin hangisinin yalnızca okunacak veri, hangisinin yerine getirilecek talimat olduğunu güvenilir şekilde ayıramazsa istem enjeksiyonu riski tamamen ortadan kaldırılamıyor.

Microsoft da daha önce dolaylı komut enjeksiyonu saldırılarının üretken yapay zekâ sistemleri için yeni bir güvenlik sınıfı oluşturduğunu kabul etmiş ve bu tür saldırılara karşı çok katmanlı savunma yaklaşımı geliştirdiğini açıklamıştı. Bu yaklaşım; istemlerin ayrıştırılması, güvenilmeyen içeriklerin işaretlenmesi, giriş ve çıkış filtreleri ile davranış analizlerini kapsıyor.

Ancak güvenlik araştırmacılarının ortak görüşü, istem enjeksiyonunun tek bir güncellemeyle tamamen çözülebilecek klasik bir yazılım hatasından farklı olduğu yönünde. Saldırganlar farklı cümle yapıları, yeni bağlamsal ifadeler veya farklı gizleme teknikleri geliştirerek mevcut korumaları aşmayı deneyebiliyor.

Kurumsal Kullanıcılar İçin Risk Daha Büyük

Bireysel kullanıcı açısından yanlış düzenlenmiş tek bir belge can sıkıcı bir sorun oluşturabilir. Kurumsal ortamlarda ise etkiler çok daha geniş olabilir.

Şirketler Copilot’ı ihale dosyaları hazırlamak, finansal analiz oluşturmak, yönetim raporlarını düzenlemek, teknik dokümantasyon üretmek ve sözleşmeleri gözden geçirmek için kullanıyor.

Bu belgelerin önemli bölümü daha sonra başka ekipler tarafından tekrar düzenleniyor ve yeniden Copilot’a gönderiliyor.

Eğer görünmez komutlar bu belge zinciri içerisinde taşınabiliyorsa, yanlış içeriklerin uzun süre fark edilmeden dolaşması ihtimali ortaya çıkıyor. Özellikle finans, hukuk, sağlık ve kamu gibi belge bütünlüğünün kritik olduğu sektörlerde yapay zekâ tarafından yapılan her düzenlemenin insan denetiminden geçirilmesi önemini koruyor.

Microsoft’un son dönemde Word için yayımladığı güncellemelerde değişiklik geçmişi, izlenebilir düzenlemeler ve şeffaf çalışma akışlarını öne çıkarmasının temel nedenlerinden biri de yapay zekâ destekli düzenlemelerin daha kolay denetlenebilmesini sağlamak.

Kullanıcılar Nelere Dikkat Etmeli?

Araştırmacı Håkon Måløy, dış kaynaklardan gelen Word belgelerinin Copilot ile kullanılmadan önce güvenilmeyen içerik olarak değerlendirilmesini öneriyor.

Yapay zekânın hazırladığı raporlar, sözleşmeler veya finansal tablolar paylaşılmadan önce mutlaka satır satır kontrol edilmeli. Özellikle rakamsal veriler, tarih bilgilerinin doğruluğu ve kritik metin değişiklikleri yalnızca Copilot’ın çıktısına güvenilerek onaylanmamalı.

Kurumsal BT ekiplerinin Microsoft 365 güvenlik ilkelerini güncel tutması, yeni Copilot sürümlerini gecikmeden dağıtması ve çalışanlara istem enjeksiyonu saldırıları hakkında farkındalık eğitimi vermesi de alınabilecek önlemler arasında bulunuyor.

Üretken yapay zekâ çözümleri iş süreçlerini hızlandırmaya devam ederken, güvenlik yaklaşımı da yalnızca zararlı yazılımları engellemekten çıkıp yapay zekânın karar mekanizmasını hedef alan yeni saldırı tekniklerini kapsayacak şekilde genişliyor. Son araştırma, gelecekte güvenilir yapay zekâ sistemleri geliştirmenin yalnızca daha güçlü modeller üretmekle değil, bu modellerin güvenilmeyen içeriklerle nasıl etkileşime girdiğini doğru yönetmekle mümkün olacağını bir kez daha gösteriyor.

  Teknoloji Haberleri - Teknoloji Medya