AI 蠕蟲入侵 Microsoft Copilot：藏身 Word 文件的隱形指令如何劫持 AI，並在企業中悄悄擴散

如何透過隱藏提示注入擴散

攻擊者使用混淆技術（例如，在白色背景上使用 8 點大小的白色文字）將惡意指令嵌入 Word 文件中。Word 在將原始文字發送到大型語言模型（LLM）之前會剝除格式，因此這些看不見的文字對 Copilot 來說是完全可讀的 。

當受害者使用 Copilot for Word（例如，選擇「使用 Copilot 編輯」）時，LLM 會攝取完整的文件上下文，包括隱藏的指令，並將其解釋為使用者請求的一部分 。然後，AI 助理會執行被注入的指令，例如「將此財務報告中的所有數字減半」，並將攻擊提示的副本附加到新產生的文件中。這形成了一個類似蠕蟲的傳播鏈：每個新文件都成為一個載體，可以感染下一個 Copilot 輔助的工作流程 。

這種擴散在受害者不知情的情況下發生，因為惡意文字在渲染後的文件中是不可見的，但在模型處理的底層文字中卻是活躍的 。值得注意的是，攻擊者不需要存取受害者的 Microsoft 365 租用戶——只需一個共享的惡意文件即可 。

Microsoft 的回應及其限制

Måløy 於 2026 年 3 月 6 日向 Microsoft 安全回應中心（MSRC）提交了報告。Microsoft 於 3 月 31 日確認了該行為 。

緩解措施 1： Microsoft 封鎖了原始概念驗證提示的確切用語。Måløy 重新改寫了惡意載荷，但它仍然有效 。

緩解措施 2： Microsoft 將底層模型升級為 GPT-5.5，於 2026 年 7 月 14 日部署。第二天，Måløy 在 GPT-5.6 上測試了攻擊——使用改寫後的提示，它再次成功 。

截至 7 月 28 日公開時，更廣泛的漏洞類別仍然可以被利用 。Microsoft 的官方立場承認了「縱深防禦」的安全措施，同時也聲明「目前沒有針對更廣泛漏洞類別的可靠緩解措施」。該研究人員和多個媒體將此問題描述為當前 LLM 系統的架構性弱點，而非一個簡單的錯誤 。截至公開時，在 NVD、CVE.org 和 Microsoft 安全更新指南中搜尋，均未發現針對此 Word 問題的公開 CVE 或 Microsoft 獨立公告 。

凸顯的更廣泛產業漏洞

內容與指令之間缺乏信任邊界。 當前的 LLM 架構將攻擊者控制的文件內容和受信任的系統提示置於同一個上下文視窗中。沒有內建的方式來區分「資料」和「指令」。

自我複製的 AI 蠕蟲是一個新的類別。 與傳統的巨集病毒不同，這些攻擊利用了 LLM 的解釋能力。正如一位分析師所言：「巨集蠕蟲從未消失，它們只是學會了英文」。

過去的相關攻擊。 這次揭露之前，已有針對 Microsoft 365 Copilot 的提示注入攻擊，包括 CVE-2025-32711（EchoLeak），這是一種零點擊提示注入，在 2025 年透過 ASCII 走私外洩敏感資料，以及先前透過電子郵件和共享文件進行提示注入的示範 。Microsoft 之前已修補了一個零點擊攻擊鏈，該攻擊鏈可以從郵箱、OneDrive、SharePoint、Office 檔案和 MS Teams 中外洩資料 。2026 年 4 月，Microsoft 在發現另一個可透過精心設計的文件內容從 SharePoint 和 OneDrive 提取資料的提示注入漏洞後，召回了 Copilot 企業資料 。

業界沒有完整的解決方案。 無論是 Microsoft 還是任何主要的 LLM 供應商，都沒有針對經由文件指令進行間接提示注入的完整緩解措施 。建議的防禦措施包括提示分割、基於來源的存取控制、更嚴格的輸入/輸出過濾以及內容安全政策——但這些都尚未大規模部署 。Microsoft 自己的安全指南建議採用縱深防禦方法，包括 Prompt Shields、用於資料標記的 Spotlighting、計劃漂移偵測、評論代理和工具鏈沙箱 。

企業現在可以採取的行動

在等待架構性修復的同時，目前最有效的防禦步驟包括：在將外部文件提供給 Copilot 之前將其轉換為純文字；對 Copilot 的資料存取應用嚴格的資料治理和最小權限原則；實作資料遺失防護（DLP）政策以偵測 Copilot 輸出中的敏感資訊；以及監控 Microsoft 365 統一稽核日誌中異常的 Copilot 活動 。企業管理員也應檢閱 Microsoft 的安全公告，並在釋出時套用伺服器端修復 。