AI-worm kaapt Microsoft Copilot via verborgen instructies in Word-documenten

Hoe de AI-worm zich verspreidt via verborgen prompt-injectie

Een aanvaller plaatst kwaadaardige instructies in een Word-document met behulp van verhullingstechnieken – bijvoorbeeld witte tekst op een witte achtergrond in lettergrootte 8. Word verwijdert de opmaak van het document voordat de ruwe tekst naar het grote taalmodel (LLM) wordt gestuurd, waardoor de onzichtbare tekst volledig leesbaar blijft voor Copilot .

Wanneer een slachtoffer Copilot voor Word gebruikt (bijv. door 'Bewerken met Copilot' te selecteren), neemt het LLM de volledige documentcontext op, inclusief de verborgen instructies, en interpreteert deze als onderdeel van het verzoek van de gebruiker . De AI-assistent volgt vervolgens de geïnjecteerde instructies – bijvoorbeeld 'halveer alle getallen in dit financiële rapport' – en voegt een kopie van de aanvalsprompt toe aan het nieuw gegenereerde document. Dit creëert een wormachtige verspreidingsketen: elk nieuw document wordt een drager die het volgende Copilot-ondersteunde werkproces kan infecteren .

De verspreiding vindt plaats zonder medeweten van het slachtoffer, omdat de kwaadaardige tekst onzichtbaar is in het weergegeven document maar actief is in de onderliggende tekst die het model verwerkt . Opvallend is dat de aanvaller geen toegang tot de Microsoft 365-tenant van het slachtoffer nodig heeft – alleen een gedeeld kwaadaardig document is voldoende .

Reactie van Microsoft en de beperkingen ervan

Måløy diende het rapport in bij het Microsoft Security Response Center (MSRC) op 6 maart 2026. Microsoft bevestigde het gedrag op 31 maart .

Maatregel 1: Microsoft blokkeerde de exacte formulering van de originele proof-of-concept prompt. Måløy herformuleerde de payload en deze werkte nog steeds .

Maatregel 2: Microsoft upgrade het onderliggende model naar GPT-5.5, uitgerold op 14 juli 2026. De volgende dag testte Måløy de aanval op GPT-5.6 – het werkte opnieuw met een herformuleerde prompt .

Op het moment van publicatie op 28 juli bleef de bredere kwetsbaarheidsklasse exploiteerbaar . Microsoft's officiële standpunt erkent 'defense-in-depth' waarborgen, maar stelt ook dat 'geen robuuste mitigatie voor de bredere kwetsbaarheidsklasse momenteel beschikbaar is' . De onderzoeker en meerdere media karakteriseren het probleem als een architectuurzwakte van de huidige LLM-systemen, niet als een simpele bug . Op het moment van publicatie werd er geen openbare CVE of op zichzelf staand Microsoft-adviess voor de Word-bevinding gevonden in zoekopdrachten van NVD, CVE.org en de Security Update Guide van Microsoft .

Bredere industriële kwetsbaarheden aan het licht gebracht

Geen vertrouwensgrens tussen inhoud en instructies. De huidige LLM-architectuur plaatst inhoud van een aanvaller en vertrouwde systeemprompts in dezelfde contextvenster. Er is geen ingebouwde manier om 'gegevens' van 'opdrachten' te onderscheiden .

Zelfverspreidende AI-wormen zijn een nieuwe klasse. In tegenstelling tot traditionele macro-virussen, maken deze aanvallen misbruik van het interpretatieve vermogen van het LLM. Zoals een analyse het verwoordde: 'Macro-wormen zijn nooit weggegaan, ze hebben gewoon Engels geleerd' .

Eerdere gerelateerde aanvallen. Deze openbaarmaking volgt op eerdere prompt-injectie aanvallen op Microsoft 365 Copilot, waaronder CVE-2025-32711 (EchoLeak), een zero-click prompt-injectie die gevoelige gegevens exfiltreerde via ASCII-smokkel in 2025, en eerdere demonstraties van prompt-injectie via e-mails en gedeelde documenten . Microsoft had eerder een zero-click aanvalsketen gepatcht die gegevens kon exfiltrieren uit mailbox, OneDrive, SharePoint, Office-bestanden en MS Teams . In april 2026 riep Microsoft Copilot-enterprisegegevens terug na het ontdekken van een andere prompt-injectie kwetsbaarheid die gegevens uit SharePoint en OneDrive kon extraheren via geconstrueerde documentinhoud .

Er bestaat geen oplossing voor de hele industrie. Noch Microsoft, noch een andere grote LLM-leverancier heeft een complete mitigatie voor indirecte prompt-injectie via document-gedragen instructies . Voorgestelde verdedigingsmechanismen omvatten promptpartitionering, herkomstgebaseerde toegangscontrole, strengere input/output-filtering en inhoudsbeveiligingsbeleid – maar geen daarvan is op grote schaal geïmplementeerd . Microsoft's eigen beveiligingsrichtlijn adviseert een defense-in-depth aanpak, waaronder Prompt Shields, Spotlighting voor gegevensmarkering, planafwijkingsdetectie, critic agents en tool chain sandboxing .

Wat organisaties nu kunnen doen

In afwachting van een architectuurfix zijn de meest effectieve verdedigende stappen die vandaag beschikbaar zijn: externe documenten converteren naar platte tekst voordat ze aan Copilot worden gevoerd, strikt gegevensbeheer en minimale rechten toepassen op Copilot's gegevenstoegang, DLP-beleid (dataverliespreventie) implementeren om gevoelige informatie in Copilot-outputs te detecteren, en Microsoft 365 Unified Audit Logs monitoren op afwijkende Copilot-activiteit . Enterprise-beheerders moeten ook de beveiligingsadviezen van Microsoft raadplegen en server-side fixes toepassen zodra deze worden uitgebracht .