Badacz pokazał samoreplikującego się robaka AI w Microsoft Word i Copilocie

Norweski badacz bezpieczeństwa Håkon Måløy pokazał, jak dokument Worda z ukrytym tekstem potrafi zamienić Microsoft 365 Copilot w narzędzie, które samo rozprzestrzenia złośliwe instrukcje po całej firmie, bez jednej linijki malware'u, makra czy exploita. Wystarczy, że ktokolwiek otworzy zainfekowany plik i poprosi Copilota o pomoc przy edycji.

Jak działa atak

Mechanizm opiera się na technice cross-prompt injection, znanej już z wcześniejszych badań nad asystentami AI. Atakujący ukrywa złośliwe instrukcje jako biały tekst na białym tle wewnątrz dokumentu Word, niewidoczny dla człowieka, ale w pełni czytelny dla modelu językowego. Gdy użytkownik prosi Copilota o opracowanie lub edycję treści na bazie takiego pliku, asystent zdejmuje formatowanie, odczytuje ukryty tekst i traktuje go jak polecenie samego użytkownika.

Na tym etapie Copilot może zmienić dane w tworzonym dokumencie, na przykład liczby w raporcie finansowym, a następnie dopisać pełną złośliwą instrukcję jako nowy fragment ukrytego, białego tekstu w wygenerowanym pliku. Kiedy ten dokument trafia do kolejnego pracownika i ten również korzysta z Copilota przy jego edycji, cykl się powtarza. Infekcja przechodzi z pliku na plik przez zwykły obieg dokumentów w firmie, bez udziału atakującej strony czy oryginalnego zainfekowanego pliku.

Reakcja Microsoftu

Måløy zgłosił problem Microsoft Security Response Center 6 marca 2026 roku. Przez kolejne 144 dni firma wdrażała kolejne łagodzenia, w tym aktualizacje modeli obsługujących Copilota. Mimo to badacz twierdzi, że po upływie uzgodnionego okresu koordynacji nadal odtwarzał pełny łańcuch działania robaka.

To jedna z pierwszych publicznych demonstracji samopropagującego się robaka AI przez normalny obieg dokumentów w powszechnie używanym komercyjnym pakiecie biurowym - Håkon Måløy

Microsoft twierdzi, że zastosował strategię obrony wielowarstwowej z zabezpieczeniami blokującymi złośliwe instrukcje w kilku punktach przetwarzania. Firma rekomenduje klientom instalowanie aktualizacji, stosowanie dodatkowych warstw zabezpieczeń, ostrożne traktowanie plików z nieznanych źródeł i ręczny przegląd treści wygenerowanych przez AI, co w praktyce oznacza przyznanie, że kompletnego rozwiązania na razie nie ma.

Uzgodniony z Microsoftem okres koordynacji już minął, a testy pokazują, że obecnie nie ma solidnego zabezpieczenia dla całej tej klasy podatności - Håkon Måløy

Dlaczego to trudne do załatania

Problem wynika z samej natury asystentów opartych na dużych modelach językowych. Aby Copilot był użyteczny, musi przetwarzać e-maile, dokumenty, strony internetowe, zapamiętane informacje i wyniki działania innych narzędzi, a każdy z tych kanałów może być kontrolowany przez atakującego. Odróżnienie polecenia użytkownika od instrukcji ukrytej w treści dokumentu okazuje się dla obecnych modeli zadaniem, którego nie da się rozwiązać jednym poprawionym filtrem.

Aby asystenci AI byli użyteczni, często muszą przetwarzać e-maile, dokumenty, strony internetowe, zapamiętane informacje, wyniki działania narzędzi i inne dane, które mogą być kontrolowane przez atakującego - Håkon Måløy

To nie pierwsza luka, jaką Måløy znalazł w produktach Microsoftu oparte na dużych modelach językowych. Wcześniejsze jego badania nad wstrzykiwaniem poleceń między domenami (cross-domain prompt injection) pokazały już, że pamięć Copilota można było zatruć instrukcjami ukrytymi na stronach internetowych, a specjalnie spreparowane e-maile w Outlooku pozwalały wyciągać z podsumowań poufne informacje. Te dwa scenariusze Microsoft już załatał, robak w Wordzie pozostaje otwarty.

Co to znaczy dla firm

Dla organizacji korzystających z Microsoft 365 Copilot ryzyko sprowadza się do trzech rzeczy naraz: możliwości cichej manipulacji danymi w dokumentach, w tym raportach finansowych, trudności w ustaleniu źródła infekcji po fakcie oraz konieczności ręcznego przeglądu każdej treści, jaką Copilot pomógł stworzyć lub edytować. To ostatnie w praktyce podważa sens używania asystenta, który miał przyspieszać pracę biurową, a teraz wymaga dodatkowej weryfikacji.

Polskie firmy, które w ostatnich miesiącach masowo wdrażały Copilota w pakiecie Microsoft 365, w tym w administracji publicznej i sektorze finansowym, powinny traktować ten przypadek jako sygnał do przeglądu polityk bezpieczeństwa wobec dokumentów z zewnętrznych źródeł. Rekomendacje ekspertów są na razie proste, ale pracochłonne: traktować nieznane dokumenty jako potencjalnie niezaufane i dokładnie sprawdzać treści wygenerowane przez Copilota przed ich dalszym udostępnieniem.

Sprawa wpisuje się w szerszy wzorzec, jaki widać w tym roku wokół asystentów AI zintegrowanych z codziennym obiegiem pracy: coraz więcej badaczy pokazuje, że luki tego typu nie są pojedynczymi błędami do załatania, lecz strukturalną cechą systemów, które muszą ufać treści dostarczanej przez użytkownika, żeby w ogóle działać. Rozwiązanie będzie prawdopodobnie wymagało zmian architektonicznych w sposobie, w jaki modele oddzielają dane od poleceń, a nie kolejnej łaty punktowej.