O 'Verme de IA' Que Sequestra o Microsoft Copilot por Meio de Instruções Ocultas em Documentos Word

Como ele se propaga por meio de injeção de prompt oculta

Um atacante insere instruções maliciosas dentro de um documento Word usando técnicas de ofuscação — por exemplo, texto branco sobre fundo branco no tamanho de fonte 8. O Word remove a formatação do documento antes de enviar o texto bruto para o modelo de linguagem de grande escala (LLM), de modo que o texto invisível permanece totalmente legível pelo Copilot .

Quando uma vítima usa o Copilot para Word (por exemplo, selecionando "Editar com Copilot"), o LLM ingere o contexto completo do documento, incluindo as instruções ocultas, e as interpreta como parte da solicitação do usuário . O assistente de IA então segue as instruções injetadas — por exemplo, "divida pela metade todos os números neste relatório financeiro" — e anexa uma cópia do prompt de ataque ao novo documento gerado. Isso cria uma cadeia de propagação semelhante a um verme: cada novo documento se torna um vetor que pode infectar o próximo fluxo de trabalho assistido pelo Copilot .

A propagação acontece sem o conhecimento da vítima porque o texto malicioso é invisível no documento renderizado, mas ativo no texto subjacente que o modelo processa . Notavelmente, o atacante não precisa de acesso ao locatário Microsoft 365 da vítima — apenas um documento malicioso compartilhado é necessário .

A resposta da Microsoft e suas limitações

Måløy submeteu o relatório ao Microsoft Security Response Center (MSRC) em 6 de março de 2026. A Microsoft confirmou o comportamento em 31 de março .

Mitigação 1: A Microsoft bloqueou a redação exata do prompt de prova de conceito original. Måløy reformulou o payload e ele ainda funcionou .

Mitigação 2: A Microsoft atualizou o modelo subjacente para o GPT-5.5, implantado em 14 de julho de 2026. No dia seguinte, Måløy testou o ataque no GPT-5.6 — funcionou novamente com um prompt reformulado .

Na data da publicação, em 28 de julho, a classe de vulnerabilidade mais ampla ainda era explorável . A posição oficial da Microsoft reconhece salvaguardas de "defesa em profundidade" ao mesmo tempo que afirma que "nenhuma mitigação robusta para a classe de vulnerabilidade mais ampla está disponível atualmente" . O pesquisador e vários veículos de imprensa caracterizam o problema como uma fraqueza arquitetônica dos sistemas LLM atuais, não um simples bug . Até a data da publicação, nenhum CVE público ou comunicado independente da Microsoft sobre a descoberta no Word foi encontrado em pesquisas no NVD, CVE.org e no Guia de Atualização de Segurança da Microsoft .

Vulnerabilidades mais amplas da indústria destacadas

Nenhuma fronteira de confiança entre conteúdo e instruções. A arquitetura LLM atual coloca o conteúdo do documento controlado pelo atacante e os prompts confiáveis do sistema na mesma janela de contexto. Não há uma maneira embutida de distinguir "dados" de "comandos" .

Vermes de IA autopropagáveis são uma nova classe. Diferente dos vírus de macro tradicionais, esses ataques exploram a capacidade interpretativa do LLM. Como uma análise resumiu: "Os vírus de macro nunca foram embora, eles apenas aprenderam inglês" .

Ataques relacionados anteriores. Esta divulgação segue ataques de injeção de prompt anteriores no Microsoft 365 Copilot, incluindo o CVE-2025-32711 (EchoLeak), uma injeção de prompt de zero clique que exfiltrou dados confidenciais por meio de contrabando ASCII em 2025, e demonstrações anteriores de injeção de prompt por e-mails e documentos compartilhados . A Microsoft já havia corrigido uma cadeia de ataque de zero clique que podia exfiltrar dados da caixa de correio, OneDrive, SharePoint, Arquivos do Office e MS Teams . Em abril de 2026, a Microsoft recolheu dados empresariais do Copilot após descobrir outra vulnerabilidade de injeção de prompt que podia extrair dados do SharePoint e OneDrive por meio de conteúdo de documento manipulado .

Nenhuma solução para toda a indústria existe. Nem a Microsoft nem nenhum grande fornecedor de LLM tem uma mitigação completa para injeção de prompt indireta por meio de instruções contidas em documentos . As defesas sugeridas incluem particionamento de prompt, controle de acesso baseado em proveniência, filtragem de entrada/saída mais rigorosa e políticas de segurança de conteúdo — mas nenhuma está implantada em escala . A própria orientação de segurança da Microsoft recomenda uma abordagem de defesa em profundidade que inclui Prompt Shields, Spotlighting para marcação de dados, detecção de desvio de plano, agentes críticos e isolamento da cadeia de ferramentas .

O que as organizações podem fazer hoje

Enquanto esperam por uma correção arquitetônica, as etapas defensivas mais eficazes disponíveis hoje incluem: converter documentos externos em texto simples antes de alimentá-los ao Copilot, aplicar governança de dados rigorosa e permissões de privilégio mínimo ao acesso de dados do Copilot, implementar políticas de DLP (prevenção contra perda de dados) para detectar informações confidenciais nas saídas do Copilot e monitorar os Logs de Auditoria Unificados do Microsoft 365 em busca de atividades anômalas do Copilot . Os administradores empresariais também devem revisar os comunicados de segurança da Microsoft e aplicar correções do lado do servidor à medida que forem lançadas .