Verme do Microsoft Copilot expõe risco de prompt injection

Um ataque com comportamento de verme no Microsoft Copilot for Word transformou uma preocupação de longa data com a segurança de IA em uma demonstração concreta

Um pesquisador de segurança mostrou que prompt injections ocultas dentro de documentos do Microsoft Word podem se espalhar de um arquivo para outro quando as pessoas usam o Microsoft Copilot for Word para reutilizar ou resumir conteúdo. O resultado não é apenas um exploit pontual, mas um mecanismo autorreplicante que pode transformar documentos comuns em portadores.

De acordo com as conclusões relatadas, o ataque funciona incorporando instruções em um documento de maneiras que leitores humanos provavelmente não notarão, como texto branco sobre fundo branco com tamanho de fonte extremamente pequeno. O pesquisador afirma que o Copilot remove a formatação de cor e tamanho da fonte antes de processar o texto, o que significa que as instruções ocultas permanecem visíveis para o sistema de IA mesmo quando são praticamente invisíveis para a pessoa que visualiza o documento.

Essa distinção importa porque cria uma lacuna entre o que o usuário acredita estar no arquivo e o que o assistente de IA realmente lê. Se o Copilot seguir as instruções ocultas ao gerar um novo documento, o texto injetado pode ser copiado para essa saída. O novo arquivo então se torna outro portador. Quando esse segundo documento é usado mais tarde como material de origem, as mesmas instruções ocultas podem ser disparadas novamente.

Por que esta demonstração importa

Prompt injection tem sido frequentemente descrita como um problema sem solução em sistemas de IA, mas muitas discussões permanecem abstratas. Este caso é mais específico e mais inquietante porque mostra como a fraqueza pode se mover pelos fluxos de trabalho normais de escritório. Um arquivo malicioso não precisa enganar o usuário para executar código no sentido tradicional. Ele só precisa ser usado nos tipos de tarefas de manipulação de documentos que os trabalhadores do conhecimento realizam todos os dias.

O cenário relatado ilustra como uma análise de mercado infectada baixada da internet poderia influenciar um relatório financeiro criado com o Copilot. Se o relatório herdar as instruções ocultas, ele pode então contaminar rascunhos posteriores, resumos derivados ou documentos baseados em modelos. Em outras palavras, o recurso de produtividade que facilita a reutilização de documentos também cria um caminho para o ataque persistir.

Isso representa uma mudança notável em relação ao phishing clássico ou a malwares de macro. O risco descrito aqui está ligado a como um modelo de IA interpreta a linguagem dentro de conteúdo empresarial confiável. O documento subjacente pode parecer inofensivo, passar por uma inspeção casual e ainda assim alterar as saídas posteriores.

A Microsoft foi notificada, mas não havia correção quando as descobertas foram publicadas

O pesquisador por trás do ataque, Hakon Maloy, relatou o comportamento à Microsoft em 31 de março, segundo o material de origem. A Microsoft confirmou o comportamento, mas duas tentativas de correção teriam falhado. Após 144 dias, Maloy publicou as descobertas sem divulgar o texto da carga útil.

Essa linha do tempo é importante por dois motivos. Primeiro, sugere que o problema não é meramente teórico nem produto de um caso-limite mal compreendido. Segundo, reforça como problemas de prompt injection podem ser difíceis de resolver em sistemas construídos para ingerir e transformar linguagem natural. Se o assistente deve ler tudo em um documento como contexto potencialmente útil, distinguir instruções legítimas de maliciosas se torna tecnicamente e em termos de produto algo complexo.

A publicação das descobertas sem uma correção pública também aumenta a pressão sobre fornecedores empresariais de IA. Copilot e ferramentas semelhantes são cada vez mais vendidos como assistentes para redigir, editar, resumir e sintetizar informações em arquivos internos de uma empresa. Isso torna a confiança nas fronteiras dos documentos e no tratamento de instruções central para a segurança do produto.

Um problema de produtividade de escritório, não apenas um problema de laboratório de IA

Uma das razões pelas quais este caso se destaca é que ele ocorre em um contexto de produtividade amplamente usado, e não em uma interface de chatbot de escopo restrito. Documentos do Word são rotineiramente compartilhados entre equipes, departamentos, parceiros e fontes externas. Muitas organizações estão incentivando ativamente os funcionários a alimentar mais desses documentos em copilotos de IA para economizar tempo.

O exploit descrito no relatório sugere que a conveniência também pode se tornar uma superfície de ataque. Um usuário talvez não precise clicar em um anexo perigoso, habilitar macros ou instalar software suspeito. Em vez disso, o simples ato de pedir ao Copilot ajuda para escrever um novo documento com base em um antigo pode ser suficiente para replicar instruções ocultas.

Isso torna os hábitos defensivos mais difíceis de definir. A orientação tradicional de segurança costuma se concentrar em sinais de alerta visíveis ou conteúdo executável. Aqui, o material de risco é texto simples que foi apenas formatado para escapar da atenção humana enquanto permanece legível para o modelo. O ataque, portanto, explora um descompasso entre a percepção humana e a da máquina dentro do mesmo arquivo.

O que a demonstração diz sobre o estado da segurança em IA

A conclusão mais ampla é que a prompt injection continua sem solução em produtos reais, especialmente onde os modelos recebem ampla autoridade para interpretar entradas de confiança mista. Instruções ocultas em documentos externos, páginas da web, e-mails ou anexos são uma preocupação conhecida em sistemas de IA. Este exemplo acrescenta um mecanismo de propagação que torna o problema mais difícil de conter depois que um documento ruim entra em um fluxo de trabalho.

O relatório também enfraquece a ideia de que prompt injection é principalmente um incômodo que gera respostas estranhas. Neste caso, o perigo é operacional. Uma instrução maliciosa pode sobreviver dentro de artefatos empresariais normais e se espalhar pelo trabalho de conhecimento rotineiro. Mesmo sem execução de código destrutivo, isso cria riscos de integridade para relatórios, resumos, documentos de planejamento e outros registros em que os funcionários podem confiar.

A decisão do pesquisador de reter o texto real da carga útil limita um pouco o uso imediato por imitadores, mas a descrição publicada é suficiente para mostrar a classe de falha. Para empresas que avaliam copilotos de IA, a lição é direta: a ingestão de documentos não pode ser tratada como segura só porque a fonte parece conteúdo comum de escritório.

À medida que as empresas aprofundam sua dependência de ferramentas de escrita com IA, a fronteira entre conteúdo e comando está se tornando uma das linhas de segurança mais importantes a defender. Esta demonstração mostra que, nos sistemas atuais, essa linha ainda é fácil demais de borrar.

Este artigo é baseado em reportagem da The Decoder. Leia o artigo original.