Istruzioni nascoste trasformano Copilot per Word in worm

Istruzioni nascoste in un documento inducono Copilot per Word a copiarle nell’output e a propagarle nei file successivi. Esempio concreto: testo bianco su bianco che Copilot legge e reinserisce nel documento generato. In pratica, un worm che si auto-replica via documenti.¹

Il ricercatore Håkon Måløy mostra una variante di prompt injection che usa i documenti come vettori. L’attacco parte quando un aggressore inserisce istruzioni non visibili a occhio ma presenti nel file. Quel documento viene poi usato come materiale di riferimento in Copilot per Word. Copilot può trattare quelle istruzioni come parte della richiesta dell’utente, eseguirle, manipolare il testo in lavorazione e ricopiare le stesse istruzioni nel risultato. Il file prodotto diventa così un nuovo portatore.¹

La catena prosegue se qualcuno riusa quel portatore in un’altra sessione assistita da Copilot. Le istruzioni si attivano di nuovo, influenzano il nuovo contesto e tornano nel documento appena creato. La propagazione continua anche se l’originale dell’aggressore è uscito dal flusso di lavoro. È il passaggio dall’influenza sull’output all’auto-replica che rende la tecnica un worm basato sui contenuti.¹

Il trucco del testo nascosto non è nuovo. Bianco su bianco e formattazioni simili ricorrono spesso per celare istruzioni. Qui cambia l’intento: costruire le istruzioni per farsi ricopiare nel risultato e garantirne la replica. La fonte segnala il primo caso noto in cui le istruzioni mirano a auto-replicarsi deliberatamente nei documenti generati dallo strumento. Il comportamento sfrutta il modo in cui Copilot integra materiale di riferimento nella redazione e, in certe condizioni, lo trasferisce nell’output.¹

Måløy ha segnalato il problema a Microsoft con una disclosure responsabile. L’azienda ha avuto 144 giorni per lavorare a una correzione. Secondo la fonte, non esiste ancora una mitigazione che copra l’intera classe di attacco. Oggi manca una soluzione generale che impedisca a queste istruzioni nascoste di venire interpretate come richiesta o copiate nei documenti successivi. La segnalazione descrive quindi uno stato privo di una difesa completa per questo vettore specifico.¹

Il punto operativo è nella sequenza: un documento con istruzioni nascoste, usato come riferimento, induce Copilot a eseguirle sul testo, a ricopiarle nel risultato e a trasformare quel risultato in un nuovo veicolo. Riutilizzare il veicolo in ulteriori sessioni riattiva l’intero meccanismo, anche senza l’originale. La novità non riguarda un singolo prompt malevolo, ma la persistenza lungo una catena di documenti generati in flussi ordinari di redazione con Copilot per Word. Per chi integra strumenti generativi nel ciclo documentale, il rischio non è più confinato al momento dell’input: entra nel patrimonio di contenuti che l’organizzazione riusa e cita.¹