Независимый норвежский ИБ-специалист Хокон Молей (Håkon Måløy) сообщил, что создал самораспространяющегося промпт-червя для Copilot for Word. По его словам, атакующий может скрыть вредоносные инструкции внутри документа, а ИИ-ассистент незаметно выполнит их и перенесет в новые файлы.
Молей, специалист по анализу данных со степенью PhD в области применения ИИ и машинного обучения, опубликовал подробное описание проблемы в своем блоге. При этом он не раскрывает сам пейлоад и объясняет, что надежной защиты от таких атак пока не существует, поэтому публикация готового промпта может создать лишние риски.
Исследователь полагает, что его работа — это одна из первых публичных демонстраций ИИ-червя, который способен распространяться через обычные документы и популярный офисный пакет.
С марта 2026 года Молей находится на связи со специалистами Microsoft. Дело в том, что разработчикам компании удалось заблокировать первоначальный PoC, однако после этого исследователь переформулировал вредоносные инструкции, и червь заработал снова, успешно распространяясь между документами и подменяя финансовые данные.
Стороны уже дважды откладывали раскрытие информации о проблеме, и спустя 144 дня Молей все же решил опубликовать свою статью.
«Согласованный с Microsoft срок координированного раскрытия уязвимости давно закончился. Тесты показывают, что надежной защиты от подобных атак по-прежнему нет. Две попытки исправления, включая обновление модели, не помогли устранить проблему», — объясняет исследователь.
Молей пишет, что атака может начаться с обычного документа, скачанного с доверенного сайта, который ранее был скомпрометирован. В своей демонстрации специалист скрыл вредоносные инструкции в документе с помощью мелкого белого текста. Если человек добавлял такой файл в контекст Copilot (к примеру, для подготовки финансового отчета), ИИ следовал невидимым инструкциям и подменял цифры, а также копировал вредоносный промпт в новый документ.
Если другой человек затем использовал зараженный отчет как источник, цепочка атаки воспроизводилась снова. Каждый новый файл, созданный при участии Copilot, становился носителем промпта-червя, и установить первоначальный источник заражения становилось все сложнее.
Подчеркивается, что при этом атакующему не нужно иметь доступ к тенанту Microsoft 365 или инфраструктуре жертвы. Достаточно просто передать ей вредоносный документ, и после первого срабатывания червь продолжит распространяться без исходного файла.
По мнению Молея, проблема связана с фундаментальным принципом работы современных LLM. Так, ассистент должен использовать содержимое документов как данные, но не воспринимать встроенный в них текст как новые инструкции. Однако модели не всегда способны надежно отделить одно от другого.
Исследователь объясняет, что для проверки контента на промпт-инжекты LLM сначала должна его обработать, и вредоносная инструкция может повлиять на решение ИИ уже на этом этапе. Причем создание дополнительной модели-фильтра лишь перенесет ту же проблему на следующий уровень.
Молей убежден, что полностью устранить риски на стороне пользователей пока попросту невозможно. Он советует считать любые внешние документы недоверенными, проверять их перед загрузкой в Copilot и внимательно перечитывать созданные или отредактированные ИИ файлы перед их распространением.
«В долгосрочной перспективе главная задача, вероятно, состоит в создании систем, где цели и намерения существуют отдельно от обрабатываемой информации, — пишет исследователь. — А пока любую систему, в которой LLM доверяют выполнение рабочих задач, следует проектировать с учетом того, что контролируемый атакующим контент может попасть в контекст модели, что с той или иной вероятностью приведет к ее компрометации».
Представители Microsoft подтвердили выводы Молея и заявили, что применяют многоуровневую защиту для блокировки вредоносных промптов и постоянно работают над улучшением безопасности. В компании рекомендуют пользователям устанавливать свежие обновления, осторожно работать с файлами из неизвестных источников и всегда внимательно проверять сгенерированный ИИ контент.
