Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Microsoft 365 Copilot w Wordzie wprowadza nowy model pracy z dokumentami, w którym sztuczna inteligencja analizuje treść pliku i na tej podstawie proponuje zmiany, streszczenia lub nowe wersje materiału. Problem pojawia się wtedy, gdy model potraktuje fragmenty dokumentu nie jako zwykłą treść, lecz jako instrukcje sterujące jego zachowaniem. Taki scenariusz jest określany mianem prompt injection.
W praktyce oznacza to, że odpowiednio przygotowany dokument Word może zawierać ukryte polecenia wpływające na sposób działania Copilota. Ryzyko nie dotyczy klasycznego złośliwego kodu, ale manipulacji logiką modelu, treścią dokumentu oraz kontekstem wykorzystywanym podczas dalszej pracy.
W skrócie
Badacz bezpieczeństwa wykazał, że Copilot dla Worda może odczytać ukryte instrukcje osadzone w pliku i potraktować je jako element polecenia. W zaprezentowanym scenariuszu model nie tylko zmieniał zawartość raportu, ale również kopiował ukryty prompt do nowo utworzonego dokumentu.
- atak bazuje na prompt injection ukrytym w treści pliku Word,
- zmiany mogą obejmować liczby, fragmenty raportów i inne krytyczne dane,
- ukryty prompt może zostać przeniesiony do kolejnego dokumentu,
- mechanizm nie jest samorozprzestrzeniającym się malware ani atakiem zero-click,
- największe ryzyko dotyczy integralności dokumentów biznesowych i procesu decyzyjnego.
Kontekst / historia
Opisywany przypadek wpisuje się w szerszą kategorię zagrożeń związanych z generatywną AI integrowaną z narzędziami biurowymi. W nowoczesnych środowiskach enterprise modele językowe działają w oparciu o dokumenty, wiadomości i zasoby organizacji, co zwiększa ich użyteczność, ale jednocześnie rozszerza powierzchnię ataku.
Według dostępnych informacji badacz zgłosił problem producentowi. Następnie zaobserwowano wdrożenie ograniczeń, które miały blokować pierwotny wariant techniki, a także zmianę modelu bazowego. Jednocześnie wskazano, że po zmodyfikowaniu instrukcji klasa problemu nadal mogła być odtwarzana, co sugeruje bardziej architektoniczny niż wyłącznie sygnaturowy charakter zagrożenia.
Istotne jest również to, że przypadek nie został publicznie opisany jako osobny błąd z dedykowanym identyfikatorem CVE. Z perspektywy obrońców oznacza to konieczność patrzenia na temat szerzej: jako na ryzyko związane z kontrolą kontekstu i zaufaniem do danych wejściowych w systemach AI.
Analiza techniczna
Rdzeniem ataku jest ukryty prompt injection zapisany wewnątrz dokumentu Word. Kluczowy problem polega na tym, że warstwa modelowa nie interpretuje dokumentu tak samo jak człowiek. Treść, która dla użytkownika może być mało widoczna albo praktycznie niewidoczna, nadal może zostać odczytana przez pipeline przetwarzający dane dla modelu.
W przedstawionym proof of concept ukryte instrukcje miały dwa cele. Po pierwsze, wymuszały modyfikację treści dokumentu, na przykład zmianę wartości liczbowych w raporcie. Po drugie, nakazywały skopiowanie samego promptu do wyniku końcowego i ukrycie go poprzez odpowiednie formatowanie, tak aby utrudnić wykrycie podczas standardowego przeglądu pliku.
W efekcie nowo wygenerowany dokument stawał się nośnikiem kolejnej iteracji ataku. Jeśli taki plik został później wykorzystany jako materiał wejściowy w następnej sesji Copilot, ukryty kontekst mógł ponownie wpłynąć na zachowanie modelu. To tworzy formę persystencji logicznej, choć bez użycia wykonywalnego kodu.
Mechanizm nie działa całkowicie automatycznie. Wymaga udziału użytkownika, który uruchomi funkcję redakcji, edycji lub tworzenia treści z użyciem Copilota oraz dopuści złośliwy dokument do kontekstu modelu. Może się to wydarzyć zarówno przez bezpośrednie otwarcie pliku, jak i przez wybranie go jako materiału referencyjnego z repozytorium organizacyjnego.
Z technicznego punktu widzenia przypadek dobrze pokazuje ograniczenia ochrony opartej wyłącznie na promptach zabezpieczających i klasyfikatorach treści. Jeśli model musi najpierw przetworzyć nieufny materiał, aby ocenić, czy jest on złośliwy, sama analiza staje się częścią powierzchni ataku. Dlatego coraz większe znaczenie mają deterministyczne granice bezpieczeństwa, separacja kontekstu oraz polityki zależne od poziomu zaufania do źródła danych.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem jest cicha manipulacja treścią dokumentów biznesowych. W środowiskach finansowych, prawnych, compliance czy zarządczych nawet drobna zmiana liczb, dat lub sformułowań może prowadzić do błędnych decyzji oraz trudnych do zauważenia przekłamań w dokumentacji.
Drugim zagrożeniem jest ukryta persystencja logiczna. Nie chodzi tu o malware w klasycznym rozumieniu, lecz o przenoszenie instrukcji tekstowych pomiędzy dokumentami. Taki mechanizm może utrzymywać wpływ na kolejne sesje pracy z AI, nawet jeśli pierwotny plik nie jest już aktywnie wykorzystywany.
Trzeci obszar ryzyka to utrata integralności procesu decyzyjnego i problem atrybucji. Gdy zmanipulowany dokument zostanie przekazany dalej w organizacji lub użyty jako podstawa kolejnych analiz, wykrycie pierwotnego źródła zmian może być bardzo trudne. To zwiększa ryzyko błędów audytowych, problemów zgodności i rozpowszechniania nieprawidłowych informacji.
Rekomendacje
Organizacje korzystające z Microsoft 365 Copilot powinny traktować wszystkie zewnętrzne dokumenty jako dane nieufne, nawet jeśli nie zawierają makr ani tradycyjnego złośliwego oprogramowania. W przypadku systemów AI plik może być bezpieczny jako nośnik kodu, a jednocześnie niebezpieczny jako nośnik instrukcji dla modelu.
- ograniczyć dopuszczanie dokumentów o niepewnym pochodzeniu do procesów edycji i generowania z użyciem Copilota,
- wymagać ręcznej walidacji dokumentów wygenerowanych lub istotnie zmodyfikowanych przez AI,
- wdrożyć klasyfikację źródeł i segmentację kontekstu roboczego,
- monitorować mechanizmy ochronne dostawcy związane z prompt injection i doborem kontekstu,
- szkolić użytkowników biznesowych z zagrożeń ukrytych w samej treści dokumentu,
- rozszerzyć procedury review o kontrolę spójności danych i analizę nieoczekiwanych zmian.
Szczególną uwagę warto poświęcić dokumentom zawierającym dane liczbowe, treści prawne, rekomendacje zarządcze i materiały kierowane na zewnątrz organizacji. To właśnie tam skutki cichej manipulacji mogą być najbardziej kosztowne.
Podsumowanie
Przypadek Microsoft Copilot for Word pokazuje, że zagrożenia dla systemów generatywnej AI nie muszą polegać na uruchamianiu złośliwego kodu. Coraz częściej chodzi o przejęcie kontroli nad interpretacją treści, wpływanie na wyniki pracy modelu i ukryte przenoszenie instrukcji między dokumentami.
Dla zespołów bezpieczeństwa to wyraźny sygnał, że governance wokół Copilotów i agentów AI musi obejmować nie tylko uprawnienia, prywatność i zgodność, ale również ochronę przed prompt injection, kontrolę pochodzenia danych oraz rygorystyczną walidację wyników generowanych przez modele.
Źródła
- Microsoft Copilot for Word Can Copy Hidden Prompts Into New Documents — https://thehackernews.com/2026/07/microsoft-copilot-for-word-can-copy.html
- Edit with Copilot in Word | Microsoft Support — https://support.microsoft.com/en-us/word/edit-with-copilot-in-word
- Expanding reference capabilities with Microsoft 365 Copilot in Word — https://techcommunity.microsoft.com/blog/microsoft365insiderblog/expanding-reference-capabilities-with-microsoft-365-copilot-in-word/4406054
- What is Microsoft 365 Copilot? | Microsoft Learn — https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-overview
- NIST Mathematical Proof Supports Transition to a Continuous-Monitor-and-Update Security Model for AI Systems — https://www.nist.gov/news-events/news/2026/06/nist-mathematical-proof-supports-transition-continuous-monitor-and-update