- 发布日期
白色小字篡改微软 Word 文档，可自我复制传播
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
近日，挪威数据科学家Håkon Måløy披露了一种针对微软Word Copilot的新型AI蠕虫攻击方式。这种攻击能够通过恶意提示词自复制传播，在用户无感知的情况下篡改文档，并迅速扩散。该概念验证已经公开，引发了业界对AI助手安全性的广泛关注。
随着微软将Copilot深度集成到Office套件，用户数量不断增长。然而，大语言模型在处理文档时存在被操纵的风险。此前已有提示注入攻击的先例，但像这样能自我复制的AI蠕虫尚属首次。这为办公自动化时代敲响了安全警钟。
根据Måløy展示的PoC，攻击流程分为四步。首先，攻击者将隐藏指令插入一份供Copilot处理的文档。其次，Copilot误判该指令为合法请求并执行，悄悄将恶意指令复制到新文档。最后，新文档进入下一个工作流后继续扩散。整个过程中，攻击者无需访问受害者的Microsoft 365租户，只需共享一份恶意文档。
这一攻击利用的是提示注入漏洞，恶意指令以白色文字写在白色背景上，对用户完全不可见。Copilot在读取文档时无法区分正常内容与恶意指令，将其误认为用户需求并执行。Måløy强调，这种攻击可以不依赖被攻陷网站或原始恶意文档，从而脱离攻击者控制持续自我传播。这种隐蔽性使得用户很难察觉文档被篡改的瞬间。
受影响最大的当属企业用户，因为文档在组织内高频流转，AI蠕虫可能快速感染大量文件。篡改后的文档可能导致数据丢失、信息泄露，甚至影响基于文档的决策。由于感染过程完全隐蔽，用户发现异常时往往已经扩散多轮，溯源感染起点变得极为困难。此外，个人用户的隐私数据同样面临风险。
公开信息显示，Måløy于2026年3月6日向微软通报了该AI蠕虫概念验证。随后双方合作寻找缓解措施，微软部署了多项补丁。但Måløy通过修改提示词仍能绕过这些补丁，导致微软未能有效解决问题。在协调期144天结束且两次推迟披露后，Måløy决定公开详情。他表示：“目前还没有针对这类广泛漏洞的确定性解决方案。”
未来需要开发更健壮的输入隔离和指令验证技术，以防范提示注入攻击。模型提供商应加强对抗性训练和输入过滤，而用户也需谨慎处理来源不明的文档。安全研究人员将进一步探索AI蠕虫的检测与溯源方法。此次事件或促使微软等厂商重新审视AI助手的安全架构。
AI蠕虫的出现是AI安全挑战的一个缩影，随着生成式AI被嵌入核心工作流，提示注入、模型操纵等攻击面急剧扩大。业界必须从架构层面引入安全设计，否则可能面临新型网络犯罪的冲击。此次公开披露不仅警示了单个产品，更为整个行业敲响了警钟。未来，AI安全将是决定生成式AI能否持续落地的关键因素。
