Badacz bezpieczeństwa Håkon Måløy opisał samoreplikujący się atak prompt injection, który rozprzestrzenia się przez dokumenty Microsoft Word obsługiwane przez Copilota. Ukryte w dokumencie instrukcje potrafią nie tylko przejąć kontrolę nad asystentem, ale też skopiować się do kolejnych plików — zamieniając każdy z nich w nowego nosiciela. Analizę opublikowano 28 lipca 2026, a nagłośnił ją dzień później Simon Willison.
Najważniejsze w skrócie
- Atak dotyczy Copilota zintegrowanego z Microsoft Word — asystent traktuje ukryty tekst dokumentu jak polecenia użytkownika.
- Instrukcje ukryte są jako biały tekst na białym tle — niewidoczne dla człowieka, czytelne dla modelu.
- Copilot kopiuje ukryte instrukcje do nowo tworzonych dokumentów, co daje efekt samoreplikacji (robaka).
- Håkon Måløy zgłosił lukę Microsoftowi w ramach coordinated disclosure — współpracował z zespołem MSRC.
- Według stanu na 29 lipca 2026 nie istnieje pełna poprawka obejmująca całą klasę ataku.
Jak działa atak
Punktem wyjścia jest klasyczny prompt injection — atakujący umieszcza w dokumencie instrukcje przeznaczone nie dla człowieka, lecz dla modelu językowego. Tekst jest ukryty wizualnie, najczęściej jako biały tekst na białym tle, więc czytelnik go nie widzi. Gdy użytkownik poprosi Copilota o przetworzenie takiego dokumentu — na przykład o streszczenie lub przeredagowanie — asystent wczytuje ukryty fragment jako materiał referencyjny i traktuje zawarte w nim dyrektywy jak polecenia wydane przez użytkownika.
Nowość polega na tym, co dzieje się dalej. Copilot nie tylko wykonuje ukryte polecenie w bieżącym pliku, ale potrafi przepisać te same ukryte instrukcje do dokumentu, który sam tworzy. Nowy plik staje się kolejnym nosicielem. Kiedy inny użytkownik uruchomi na nim Copilota, cykl się powtarza — bez dostępu do oryginalnego dokumentu źródłowego. To właśnie ta zdolność do samopowielania odróżnia atak od zwykłego pojedynczego wstrzyknięcia.
Dlaczego to nowa klasa problemu
Pojedynczy prompt injection to zagrożenie punktowe: dotyka jednego dokumentu i jednej sesji. Robak zmienia skalę — rozprzestrzenia się przez zwykły obieg plików w organizacji, tak jak makrowirusy w Office dwie dekady temu. Koncepcyjnie nie jest to nowość absolutna. W 2024 roku zespół badaczy opisał Morris II — pierwszego samoreplikującego się robaka wykorzystującego generatywną AI w potokach z asystentami e-mail. Praca Måløya pokazuje jednak konkretny, działający wariant w produkcyjnym narzędziu używanym przez setki milionów ludzi.
Kluczowa różnica wobec tradycyjnego malware'u jest taka, że tu nie ma exploita w kodzie. Nie łamie się żadnego zabezpieczenia w klasycznym sensie — wykorzystuje się to, że model z założenia czyta treść dokumentu i ma działać na jej podstawie. Granica między danymi a poleceniami, którą w klasycznym oprogramowaniu wyznacza architektura, w asystentach opartych na modelach językowych jest rozmyta.
Reakcja Microsoftu
Måløy zgłosił problem w ramach coordinated vulnerability disclosure?Coordinated vulnerability disclosure: Skoordynowane ujawnianie podatności — badacz zgłasza lukę producentowi i wstrzymuje publikację, aż powstanie poprawka. i według własnych słów współpracował przy analizie z zespołami produktowymi Microsoftu oraz Microsoft Security Response Center. Od zgłoszenia do publikacji minęło 144 dni. Mimo to, według stanu na dzień publikacji, nie wdrożono kompleksowej poprawki obejmującej całą klasę ataku — załatano konkretne wektory, ale sam mechanizm, w którym model ufa treści dokumentu, pozostaje.
Dlaczego to ważne?
Ten przypadek pokazuje, że prompt injection przestaje być ciekawostką badawczą, a staje się realnym wektorem propagacji w narzędziach codziennego użytku. Dopóki asystenci AI są wpinani w pakiety biurowe z dostępem do tworzenia i modyfikowania plików, każdy dokument staje się potencjalnym nośnikiem instrukcji. Skala Worda i Copilota sprawia, że nawet niski odsetek podatnych obiegów pracy przekłada się na ogromną liczbę realnych celów.
Problem jest trudny, bo nie da się go rozwiązać jedną łatką. Wymaga zmiany w tym, jak asystenci odróżniają zaufane polecenia użytkownika od treści dokumentu — a to jest otwarty problem badawczy, nie błąd do naprawienia. Branża dopiero uczy się projektować obronę tam, gdzie granica danych i poleceń zniknęła.
Co dalej?
- Microsoft łata konkretne wektory, ale — według autora analizy — pełna klasa ataku pozostaje otwarta, co zapowiada kolejne warianty.
- Analiza jest trzecią częścią serii Måløya Context Collapse — autor zapowiada dalsze publikacje o granicy danych i poleceń w asystentach AI.
Źródła
- Simon Willison — AI Worming through Word
- enklypesalt.com (Håkon Måløy) — Context Collapse, Part 3 — AI Worming through Word
