Pesquisador demonstra worm de IA que se propaga via Copilot no Word

Um pesquisador de segurança publicou o que descreve como uma das primeiras demonstrações públicas de um worm de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → que se propaga por documentos dentro de uma suíte de produtividade comercial de larga escala: o Microsoft Copilot for Word. A análise técnica, assinada por Håkon Måløy, faz parte de uma divulgação coordenada com o Microsoft Security Response Center (MSRC) e times de produto da Microsoft.

Segundo o autor, a divulgação foi feita após um período de coordenação de 144 dias (o padrão de 90 dias foi estendido duas vezes). No momento da publicação, a Microsoft ainda não dispunha de mitigação robusta para a classe da vulnerabilidade, e o ataque foi reproduzido mesmo com todas as correções aplicadas.

Como o ataque funciona

O vetor inicial é um documento com um prompt malicioso em formato JSON embutido. O texto pode ser renderizado como fonte branca sobre fundo branco e em tamanho pequeno, ficando invisível para a vítima. Como o Copilot for Word remove formatação (cor, tamanho de fonte) antes de passar o conteúdo ao modelo, o texto permanece totalmente legível para a IA.

Quando esse documento entra no contexto do Copilot durante uma tarefa de redação ou edição, o modelo pode interpretar as instruções embutidas como parte do pedido do usuário. Nos testes, o Copilot passou a alterar silenciosamente valores numéricos em relatórios financeiros (por exemplo, reduzindo todos os números pela metade) sem avisar a vítima.

O ataque acontece em dois estágios:

• Estágio 1 (foothold): o documento malicioso entra no contexto. O autor mostrou que o arquivo nem precisa ser relevante para a tarefa; basta ser lido. No modo Edit with Copilot com Work IQ, o Copilot chegou a localizar o documento malicioso no OneDrive da vítima mesmo estando em outra pasta.
• Estágio 2 (auto-propagação): o prompt instrui o Copilot a copiar o próprio código malicioso para o rodapé do novo documento, em texto branco tamanho 8. Esse documento gerado vira um novo vetor de ataque, mesmo sem a presença do arquivo original.

O ponto crítico: o documento agora é um arquivo interno legítimo, com toda a confiança associada. Basta um colaborador reutilizá-lo como fonte em outra sessão do Copilot para o ataque se replicar.

Modelo de ameaça e o que a Microsoft já tentou

O atacante não precisa de acesso ao tenant do Microsoft 365 da vítima. Basta compartilhar um documento via SharePoint, Teams, Outlook ou qualquer outro meio. A fronteira de segurança violada é a distinção entre documentos anexados (dados não confiáveis) e instruções do usuário (autoritativas): o Copilot trata as instruções escondidas nos anexos como comandos.

A Microsoft aplicou múltiplas correções durante a coordenação, incluindo a nova experiência Edit with Copilot (abril de 2026) e um upgrade do modelo para GPT-5.5. Cada correção fechou os payloads específicos reportados, mas, segundo o pesquisador, mudar a redação do prompt reabre o ataque. A cadeia completa foi reproduzida usando o GPT-5.6. O autor optou por divulgar no nível da classe, não do payload, argumentando que defensores não podem se proteger de um risco que desconhecem.

O que muda para quem usa Microsoft 365 no Brasil

O 365 é onipresente em empresas brasileiras, e o Copilot vem sendo empurrado agressivamente para dentro de fluxos corporativos. Para times de tecnologia e segurança daqui, o alerta é concreto: a integridade da informação passa a ser uma preocupação de segurança de primeira ordem em qualquer sistema que integre LLMs no fluxo de trabalho.

De acordo com a fonte, não há remediação do lado do cliente que resolva o problema por completo. As recomendações para reduzir exposição são:

• Tratar documentos de origem externa como não confiáveis ao usá-los com o Copilot.
• Revisar qualquer documento anexado antes de iniciar uma geração ou edição com Copilot.
• Revisar cuidadosamente documentos gerados ou editados pelo Copilot antes de reusar, compartilhar ou distribuir.

O pesquisador também aponta um risco de rastreabilidade: como os arquivos afetados são criados por usuários legítimos e as edições do Copilot não ficam visíveis depois de aprovadas, identificar a origem da manipulação depois do fato fica muito difícil. Ele sugere ainda que documentos gerados preservem proveniência de material-fonte e de edições feitas por modelo nos metadados, o que não impede a injeção, mas facilitaria o rastreio. A preocupação cresce com integrações mais profundas como Microsoft Cowork e Microsoft Scout, onde o alcance da propagação pode escalar em velocidade de máquina.

Fonte: Hacker News