Нова уязвимост в Microsoft Copilot за Word показва как скрити подкани (prompts) в документите могат да превърнат рутинното редактиране в саморазпространяващ се „червей с изкуствен интелект“, който подправя бизнес съдържание и след това тихичко се разпространява в нови файлове.

Уязвимостта, разкрита от EN Klype Salt, произтича от начина, по който Copilot обработва прикачени или контекстни документи: текст, който изглежда без значение или е невидим за човека, все пак може да бъде напълно анализиран от базовия голям езиков модел. Това позволява на контролираните от атакуващия инструкции да преминат границата на доверие между ненадеждния изходен материал и надеждните работни документи.

Изследването стъпва върху предишна работа по отношение на атаки с инжектиране на подкани в различни домейни (XPIA), разширявайки заплахата от компрометиране при единично взаимодействие до многодокументно разпространение в корпоративните работни процеси.

При докладвания сценарий атакуващият скрива подкана във формат JSON в документ на Word – например чрез изобразяване на зловредния код в бял цвят върху бял фон с малък шрифт в края на пазарен анализ или отчет.

Когато по-късно потребител прикачи или индиректно реферира този документ в Copilot за Word (чрез функцията „вълшебна писалка“ или в режим „Редактиране с Copilot“), Copilot премахва форматирането, прочита скрития текст като инструкции и започва да манипулира активния документ.

След като бъде задействан, Copilot може да промени ключово съдържание (например тихичко да намали наполовина финансовите показатели в тримесечен отчет), като същевременно копира цялата зловредна подкана в новогенерирания или редактиран документ, използвайки скрито форматиране.

Този нов документ по веригата се превръща в нов вектор на атака: ако по-късно бъде използван като източник за друга чернова, подпомагана от Copilot, скритата подкана се задейства отново, променя новото съдържание и се вгражда още веднъж.

На практика атаката превръща надеждните вътрешни файлове в преносители на ИИ червей, който се разпространява чрез нормално сътрудничество и повторно използване на документи, дори след като оригиналният външен документ вече не присъства.

Това поведение е възпроизведено при множество конфигурации на Copilot и базови модели, включително внедрявания, обновени до GPT-5.5 и GPT-5.6, въпреки целенасочените мерки за защита, които блокираха по-ранни зловредни кодове.

Изследователят EN Klype Salt координира разкриването на уязвимостта с Центъра за реагиране на сигурността на Microsoft (MSRC) и продуктовите екипи в рамките на 144-дневен период, предоставяйки стъпки за възпроизвеждане, PoC подкани и подробни видеоклипове.

Въпреки че Microsoft пусна частични корекции и успешно затвори някои свързани вектори, в момента няма надеждно решение за по-широкия клас уязвимости и веригата на атака остава експлоатируема към момента на публикуване.

За организациите непосредственият риск е загубата на цялост на данните и проследимост в техните екосистеми на Microsoft 365. След като в документите с вътрешно авторство бъдат вградени злонамерени инструкции, те могат да бъдат разпространени чрез SharePoint, Teams или имейл до други отдели и дори партньорски организации, маскирани като легитимно съдържание.

Тъй като редакциите на Copilot често се одобряват и след това вече не се показват като отделни промени, идентифицирането на това къде и кога са манипулирани финансови числа или формулировки става изключително трудно, което усложнява реагирането на инциденти и форензичния анализ.

Защитниците не могат да отстранят напълно уязвимостта от страна на клиента днес, но могат да намалят излагането на риск, като третират документи от външни източници като ненадеждни, когато се използват с Copilot, преглеждат прикачените файлове преди започване на изготвяне на чернови или редакции с помощта на ИИ, и извършват внимателен човешки преглед на всички генерирани или редактирани от Copilot документи, преди да ги използват повторно или споделят.

На стратегическо ниво констатациите подчертават архитектурна слабост, споделяна от много системи с интегрирани големи езикови модели (LLM): контролираното от атакуващия съдържание трябва да се обработва в същия контекст като надеждните инструкции, което прави инжектирането на подкани и саморазпространението системен риск, а не изолиран продуктен дефект.