Word 中的 AI 蠕虫：提示注入可自我复制

一种新的提示注入变体显示，针对 Microsoft Word 中 Copilot 的攻击可能从“单次误导”升级为“自我复制”的文档蠕虫。

研究者 Håkon Måløy 描述的攻击路径大致如下：

攻击者在一个文档中放入隐藏指令。该文档随后被用作 Copilot for Word 的参考材料。Copilot 可能会把这些隐藏指令误认为用户请求的一部分，从而影响正在起草或编辑的文档。更进一步，Copilot 还可能把这些隐藏指令复制到生成结果中，使新文档也成为携带者。如果这个携带文档之后再次进入另一个 Copilot 辅助工作流，指令就可能再次触发，并继续传播，即使最初的攻击文档已经不在场。

这类攻击与常见的“白底白字”隐藏文本提示注入有关，但关键差异在于：它不只是让模型在一次交互中执行隐藏指令，而是试图让隐藏指令被带入后续文档，从而形成类似蠕虫的传播链。

值得注意的是，相关问题已按负责任披露流程报告给 Microsoft，并留出了 144 天处理时间。不过目前尚未出现能够覆盖这一整类攻击的完整缓解方案。

为什么这值得关注

在文档办公场景中，AI 助手经常会读取、总结、改写或合并外部材料。如果模型无法可靠地区分“用户意图”和“文档中的潜在恶意指令”，那么文档本身就可能变成攻击载体。

这类风险提醒我们：

• AI 助手处理文档时，不能默认文档内容都是可信指令；
• 隐藏文本、注释、元数据、格式化内容都可能成为提示注入载体；
• 生成的新文档如果保留了恶意指令，风险会扩散到后续协作流程；
• 单纯过滤某一种隐藏文本形式，可能不足以解决整个攻击类别。

对于依赖 Copilot 或类似办公 AI 工具的团队来说，文档输入的可信边界、生成内容的审查机制，以及对隐藏内容的检测，都将成为新的安全重点。