Word 里的“文档型 AI 蠕虫”：Copilot 工作流暴露新的提示注入风险

导语

围绕大模型办公助手的安全讨论，正在从“它会不会答错”转向“它会不会把不可信内容当成命令”。最新披露的一项研究把风险推进了一步：隐藏在 Word 文档中的恶意提示，不仅可能影响 Copilot for Word 的一次生成或编辑，还可能被复制进下游文档，形成类似“文档型 AI 蠕虫”的自传播链条。

这项披露来自研究者与 Microsoft Security Response Center（MSRC）及产品团队的协调沟通。研究者称，微软已获得复现步骤、视频、环境假设和用于测试的概念验证提示，并经历了延长后的协调披露周期。但在公开时，测试仍能在当前缓解措施下复现该类攻击。

核心要点

• 攻击入口是普通文档工作流：攻击者不需要进入受害者的 Microsoft 365 租户，只需让受害者获得并在 Copilot 任务中引用一个带有隐藏指令的文档，例如通过邮件、Teams、SharePoint 或其他共享方式。
• 关键问题是信任边界混淆：当用户要求 Copilot 根据附件起草报告时，附件内容理应只是资料来源，而不是可执行的用户指令。但研究观察到，文档内嵌的攻击性提示可能改变 Copilot 的行为。
• 影响不止一次生成：示例场景中，恶意文档可能诱导 Copilot 修改财务报告中的数字，并把隐藏指令复制到新报告里。之后同事若再把这份报告作为资料输入 Copilot，攻击可能再次触发。
• 传播依赖正常办公习惯：报告、市场分析、会议纪要等文档经常被复用、改写和汇总。一旦生成文档也成为“载体”，风险就可能沿着组织内部的文档流动扩散。
• 缓解仍不成熟：素材称，微软曾上线针对“Edit with Copilot”的缓解并进行模型升级，但研究者仍能复现更广泛的漏洞类别，因此选择披露类别级风险而非公开具体载荷。

意义与影响

这起案例的重要性不在于某个特定提示能否绕过，而在于它揭示了 AI 办公助手的基础安全边界尚未稳定：模型必须阅读外部文档才能完成任务，却又必须分清“内容”和“指令”。对传统软件来说，附件通常是数据；对大模型来说，数据里如果包含自然语言命令，就可能变成操作意图。

对企业而言，短期内不能把 Copilot 生成的文档默认视为“干净”。外部来源文档应按不可信输入处理；在把文档交给 Copilot 前，应检查隐藏文本、异常格式和不相关指令；对 AI 改写后的重要报告，也应在共享、复用或继续作为输入前进行人工审阅。

更长期看，厂商需要在产品层面建立更强的上下文隔离、指令来源标注和跨文档传播防护，而不是单纯依赖模型“更聪明”。否则，企业越依赖自动化办公流程，提示注入就越可能从单点攻击演变为供应链式风险。

来源：Hacker News