O pesquisador de segurança Håkon Måløy revelou, em 29 de julho, uma injeção de prompt entre domínios no Microsoft Copilot for Word, sob o título Context Collapse, Part 3 — AI Worming through Word. O mecanismo é pouco glamouroso — e esse é o problema: um documento carrega instruções ocultas, o Copilot as lê ao gerar um novo documento e as copia para a saída.
Como isso fica oculto
A carga útil é em linguagem natural, escondida com texto branco sobre fundo branco em tamanho de fonte muito pequeno. Um humano que revise o arquivo não vê nada. O Copilot, que lê o documento em vez de olhar para ele, vê instruções.
Por que isso se propaga
Como o documento gerado herda a carga útil, ele próprio se torna um portador. Alimente esse arquivo em outro fluxo de trabalho assistido pelo Copilot e as instruções serão acionadas novamente, espalhando-se ainda mais — sem que o documento original do invasor esteja em nenhum ponto da cadeia. Documentos circulam dentro das organizações por desenho; a exploração simplesmente pega carona nesse fluxo normal.
144 dias
Måløy relatou o problema ao Microsoft Security Response Centre em 6 de março de 2026. A Microsoft implementou várias mitigações, incluindo uma experiência revisada de "Edit with Copilot" e uma atualização subjacente de modelo. Måløy afirma que cargas úteis modificadas continuaram a reproduzir a classe mais ampla de auto-propagação até 28 de julho — o fim de uma janela de divulgação coordenada de 144 dias em que os bugs específicos foram corrigidos, mas a categoria não.
Por que a categoria resiste a correções
Injeção de prompt não é um bug de segurança de memória com um limite a ser imposto. O modelo não consegue distinguir de forma confiável instruções que deve seguir de texto que deve apenas processar, porque ambos chegam como linguagem no mesmo contexto. Måløy chama isso de "uma das primeiras demonstrações públicas de auto-propagação de um worm de IA transportado por documentos por meio de fluxos de trabalho normais em uma suíte comercial de produtividade amplamente usada".