보안 연구원 Håkon Måløy는 29일 7월, Context Collapse, Part 3 — AI Worming through Word라는 제목으로 Microsoft Copilot for Word에서의 교차 도메인 프롬프트 주입 취약점을 공개했다. 그 메커니즘은 화려하지 않으며, 바로 그 점이 문제다. 문서에 숨은 지시문이 들어 있고, Copilot은 새 문서를 생성하면서 이를 읽은 뒤 출력물에 그대로 복사한다.

숨기는 방식

이 페이로드는 자연어로 구성되며, 흰색 배경 위 흰색 글자에 매우 작은 글씨 크기로 숨겨진다. 파일을 검토하는 사람에게는 아무것도 보이지 않는다. 문서를 시각적으로 보는 것이 아니라 읽는 Copilot은 지시문을 확인한다.

전파되는 이유

생성된 문서가 페이로드를 물려받기 때문에, 그 자체가 운반체가 된다. 이 파일을 또 다른 Copilot 지원 워크플로에 넣으면 지시문이 다시 실행되며 더 멀리 퍼진다 — 공격자의 원본 문서는 사슬 어디에도 존재하지 않은 채로. 문서는 설계상 조직 내에서 유통되며, 이 취약점은 단지 그 정상적인 흐름을 타고 이동한다.

144일

Måløy는 2026년 3월 6일 이 문제를 Microsoft Security Response Centre에 보고했다. Microsoft는 수정된 "Edit with Copilot" 환경과 기반 모델 업그레이드를 포함한 여러 완화 조치를 배포했다. Måløy는 수정된 페이로드가 7월 28일까지 더 넓은 자기 전파 유형을 계속 재현했다고 말한다. 이는 특정 버그는 수정됐지만 범주 자체는 그렇지 않았던 144일간의 조율된 공개 기간의 끝이다.

이 범주가 패치에 강한 이유

프롬프트 주입은 경계를 강제할 수 있는 메모리 안전 버그가 아니다. 모델은 자신이 따라야 할 지시와 단지 처리만 해야 할 텍스트를 안정적으로 구분할 수 없는데, 둘 다 같은 맥락 안에서 언어 형태로 들어오기 때문이다. Måløy는 이를 "주류 상용 생산성 제품군의 정상 워크플로를 통해 문서 기반 AI 웜이 자기 전파하는, 최초의 공개 시연 중 하나"라고 설명한다.