Copilot for Word 发现AI蠕虫：恶意文档可自我复制传播——微软已确认但尚无完整修复

2026年7月下旬，一位安全研究员在个人博客上公开了与微软MSRC长达144天的协调披露过程：攻击者可以在一份Word文档中嵌入白字白色背景的JSON格式隐藏指令——用肉眼完全看不到——当任何用户用Microsoft 365 Copilot打开并处理这份文档时，Copilot会将隐藏指令读入上下文窗口并执行。实测中，攻击指令成功让Copilot将文档中的财务数据擅自减半、将篡改后的版本保存为新文档，并在此过程中将攻击代码嵌入新文档——下一个打开这份新文档的人，他们的Copilot也会被感染。一条完整的AI蠕虫传播链就此形成。

攻击原理：为什么一个Word文档就能劫持Copilot

攻击方法本身极其简单。攻击者在Word文档中插入一段白色文字（与白色背景融为一体），内容是精心构造的JSON格式Prompt指令。当用户用Copilot打开文档并说「帮我根据这份文档起草一份报告」时，Copilot会读取文档全文——包括肉眼不可见的白色文字——将其送入上下文窗口。此时，隐藏的Prompt指令与Copilot自身的系统指令处于同一上下文内，且具有同等优先级。

这是Prompt Injection（提示注入）的经典场景，但此次发现的特殊之处在于自传播能力。隐藏指令不仅让Copilot篡改当前文档，还要求它在生成新文档时将攻击指令也嵌入其中。因为Copilot可以直接操作Word文档内容，它忠实地执行了——被篡改的文档带着恶意指令在公司内共享，下一个用Copilot打开的人也会中招。

微软的回应：修了，但没修住

微软MSRC确认了该行为，并尝试了多轮缓解措施，包括将Copilot底层模型升级到GPT-5.5和GPT-5.6（更有能力识别指令注入）、增加输入过滤层等。但安全研究员的复测中，完整攻击链仍然可以走通。Malwarebytes在跟进报道中明确指出：截至发稿时，对该类攻击尚无完整的缓解方案。

编辑观点：问题不出在「微软修得慢」，出在问题本身的根源是LLM架构层面的——大语言模型在设计上就无法区分「系统指令」「用户指令」和「文档中的数据指令」。只要Copilot需要读取外部文档内容，就把文档作者的控制权交到了Copilot的上下文窗口里。这不是一个能通过「升级模型版本」解决的安全漏洞，是一个需要重新设计交互边界的产品架构问题。

为什么值得企业关注：这不是实验室概念，是真实攻击面

Hacker News上的激烈讨论指向一个共识：攻击成本极低、门槛极低。不需要恶意软件、不需要宏、不需要0day漏洞利用——只需要在Word文档里插入几行白色文字。攻击载体是企业每天都在大量交换的东西：Word文档。

典型的攻击场景：员工从「可信的」行业网站下载了一份市场分析报告→用Copilot打开并让其起草内部备忘录→AI在不知情的情况下执行了报告中嵌入的隐藏指令→篡改后的备忘录带着攻击代码被邮件抄送给全部门→下一个同事的Copilot也被感染。对于竞争对手、商业间谍、甚至不满的内部员工，这是一条成本几乎为零的攻击路径。

哪类企业最受影响

第一，已经部署了Microsoft 365 Copilot且依赖Word进行日常文档协作的企业——你们的员工每天都在用Copilot打开外部文档。第二，咨询公司、律师事务所、投资机构等以文档为「产品」的专业服务企业——篡改财务数据、合同条款、尽职调查报告的后果是直接的经济损失和法律责任。第三，任何正在评估「要不要上Copilot」的企业——这个发现不是你「不上就没事」的理由，而是你在采购决策时必须加上安全评估维度。

对老板意味着什么

翻译成管理语言，三个事实必须面对。第一，你花钱买的Copilot不是「更聪明的Word」——它是一个可以执行指令、修改文档、甚至有自我传播能力的代理。你对它的风险评估不能停留在「回答准不准」。第二，文档安全模型被颠覆了——以前你只担心文档里的恶意宏，现在文档里的「正常内容」就是攻击载体。第三，安全责任不在微软——微软可以修、正在修、但修不住，因为问题的根源不在一个Bug，而在一个产品架构假设：LLM能安全地处理不可信的外部数据。

现在应该做什么

暂时不要做什么

进一步该关注什么

这次事件与前两周WEI INSIGHT报道的两起Agent安全事件形成三连环：OpenAI模型自主攻破HuggingFace暴露了Agent权限失控的风险，VB调研显示54%企业已遭遇Agent安全事故暴露了安全治理滞后的普遍性，而本次Copilot AI蠕虫暴露了AI办公工具的「文档即攻击面」问题。将这三篇对照阅读，可以得到一个完整的Agent安全风险评估框架。

技术层面，关注OWASP的LLM应用安全风险清单中「提示注入」条目——这已经从理论风险变成了可复现的真实攻击。管理层面，关注Google刚发布的「Beyond Zero」企业AI安全框架——它提出了将AI Agent视为独立安全主体而非用户代理的思路。