AI蠕蟲入侵Word！白字隱藏指令騎劫Microsoft Copilot

點樣透過隱藏注入指令傳播

攻擊者將惡意指令嵌入Word文件，用混淆技術隱藏——例如用8點白色字體寫喺白色背景上。Word喺將原始文字傳畀大型語言模型（LLM）之前會剝走格式，所以呢啲隱形文字對Copilot嚟講完全可讀 。

當受害者用Word版Copilot（例如揀「Edit with Copilot」），LLM會讀取晒成份文件嘅內容，包括隱藏指令，然後當佢哋係用戶請求嘅一部分 。AI助手就會跟住注入嘅指令做嘢——例如「將呢份財務報告嘅所有數字減半」——並將攻擊指令嘅副本附加喺新生成嘅文件入面。咁樣就形成咗蠕蟲式傳播鏈：每份新文件都變成載體，可以感染下一個經Copilot輔助嘅工作流程 。

呢種傳播喺受害者唔知情嘅情況下發生，因為惡意文字喺渲染出嚟嘅文件入面係睇唔到嘅，但對模型處理嘅底層文字嚟講係活躍嘅 。值得留意嘅係，攻擊者唔需要存取受害者嘅Microsoft 365租戶——只需要分享一份惡意文件就得 。

Microsoft嘅回應同限制

Måløy喺2026年3月6日向Microsoft安全應變中心（MSRC）提交報告，Microsoft喺3月31日確認咗呢個行為 。

緩解措施1： Microsoft封鎖咗原始概念驗證指令嘅字眼。Måløy改寫payload之後仍然work 。

緩解措施2： Microsoft將底層模型升級到GPT-5.5，2026年7月14日部署。第2日，Måløy用GPT-5.6測試攻擊——改寫指令後仍然成功 。

截至7月28日公開時，呢個漏洞類別仍然可以被利用 。Microsoft嘅官方立場承認有「縱深防禦」措施，同時亦話「目前冇針對呢個廣泛漏洞類別嘅穩健緩解方案」。研究員同多家媒體都將問題定性為目前LLM系統嘅結構性弱點，而唔係簡單嘅程式錯誤 。截至公開時，喺NVD、CVE.org同Microsoft安全更新指南中都搵唔到針對Word漏洞嘅公開CVE或獨立Microsoft公告 。

凸顯嘅業界廣泛漏洞

內容同指令之間冇信任邊界。 目前LLM架構將攻擊者控制嘅文件內容同可信系統指令放喺同一個上下文視窗入面。冇內置方法去區分「數據」同「指令」。

自我傳播型AI蠕蟲係新類別。 同傳統巨集病毒唔同，呢啲攻擊係利用LLM嘅理解能力。正如有分析話：「巨集蠕蟲從來冇消失過，佢哋只係學識咗英文」。

之前相關嘅攻擊。 今次披露之前已經有針對Microsoft 365 Copilot嘅提示注入攻擊，包括CVE-2025-32711（EchoLeak），一個可以喺2025年經ASCII走私手法盜取敏感數據嘅零點擊提示注入漏洞，以及以前通過電郵同共享文件嘅提示注入示範 。Microsoft之前已經修補過一個可以從郵箱、OneDrive、SharePoint、Office Files同MS Teams盜取數據嘅零點擊攻擊鏈 。2026年4月，Microsoft喺發現另一個可以透過精心製作嘅文件內容從SharePoint同OneDrive提取數據嘅提示注入漏洞之後，收回咗Copilot企業數據 。

業界冇完整解決方案。 無論係Microsoft定係其他主要LLM供應商，都冇對經由文件指令嘅間接提示注入提供完整緩解方案 。建議嘅防禦措施包括提示分割、基於來源嘅存取控制、更嚴格嘅輸入/輸出過濾，以及內容安全政策——但冇任何方案喺大規模部署 。Microsoft自己嘅安全指引建議採用縱深防禦方法，包括Prompt Shields、用Spotlighting標記數據、計劃漂移檢測、批評者代理，以及工具鏈沙箱 。

機構而家可以做啲咩

喺等待結構性修復嘅同時，而家最有效嘅防禦步驟包括：將外部文件轉換成純文字先畀Copilot處理、對Copilot嘅數據存取實施嚴格嘅數據管治同最低權限原則、部署DLP（數據防洩漏）政策以檢測Copilot輸出中嘅敏感資訊，以及監察Microsoft 365統一審核日誌中嘅異常Copilot活動 。企業管理員亦應該檢視Microsoft嘅安全公告，並喺推出時套用伺服器端修復 。