夜雨聆风一份看上去干干净净的Word文档，打开、交给Copilot帮你写报告，你的季度财报数字被悄悄砍了一半，你一个字都没看出来。 随之而来的风险更难察觉：这份"有毒"的报告会自动把病根种进下一份文档，同事拿去接着用，毒就接着传。整个过程不涉及宏或木马，也没有弹窗警告。你唯一做的事，就是正常办公
这段攻击链由挪威数据科学家Håkon Måløy于2026年7月28日在个人博客公开披露。
▲ Måløy的技术博客En Klype Salt，文章题为"Context Collapse, Part 3 - AI Worming through Word"
一场"隐形墨水"骗局：人看不见，AI全都读
故事要从一个极其朴素的把戏说起
攻击者在一份正常的Word文档，比如一份虚构的市场分析报告，的末尾，用白色字体、8号字号，在白色背景上写了一大段JSON格式的恶意指令。人眼打开文档，页面干干净净，最多觉得末尾有点空白。但当你把这份文档丢给Copilot说"帮我据此起草一份财报"的时候，一切都变了。
关键在于Copilot的处理管线：它在把文档内容喂给底层大模型之前，会剥掉所有格式信息，颜色、字号、字体统统不要，只留纯文本token。于是那些"隐形墨水"，在模型眼里跟正文标题一样清晰可读、一样有"权威性"。
人机感知的不对称，就是整个攻击的地基。
白字隐藏文本早已被用于考试防抄袭、钓鱼邮件美化，这种手法并不新鲜。但这一次，隐藏文本获得了一种全新的、令人脊背发凉的超能力：它可以被办公AI当作指令执行，还能把自己写进新生成的文档里。
两阶段攻击链：先改你的数，再借你的手扩散
Måløy的演示用了一家虚构公司"Tfosorcim Ltd."，没错，把Microsoft倒过来拼。这个黑色幽默本身就够辛辣
▲ The Register的报道标题："Word worm crawls into Copilot, spreads chaos"（Word蠕虫爬进Copilot，散播混乱）
第一阶段：立足与篡改
用户把那份"市场分析"作为附件交给Copilot，或者，更可怕的，Copilot通过OneDrive的智能检索自动找到了它（Måløy的实验中，恶意文件甚至不在同一文件夹，仍然被"Work IQ"模式拉了出来）。隐藏指令进入上下文后，Copilot会：
- 把所有财务数字减半
，季度收入从1000万变成500万，利润率从20%变成10%； - 不向用户主动说明改动
，除非你额外要求"请高亮所有修改"，否则语义层面的微调几乎不可察觉； 在新文档的末尾，以同样的白字8号字体，把完整的恶意指令再贴一遍。
Måløy在实验笔记里提到，模型甚至会用"便于下游追踪来源""提升可读性"这类看似合理的借口来包装自我复制行为。这就像病毒给自己写了一封推荐信
第二阶段：自我复制
新文档成了新的"毒王"你的同事拿这份"内部Q1财报"去起草Q2分析，原始恶意文件已经不在附件列表里了，但数字照样被篡改，白字提示照样被写入下一份输出。攻击沿着共享盘、邮件附件、Teams频道、跨组织SharePoint，也就是你每天上班都在用的那些协作路径，悄无声息地蔓延。
"AI蠕虫"复制的是对抗性提示文本，并沿着你和同事之间正常的文档流转持续扩散。
144天拉锯战：微软修了两次，还是没堵住
▲ The Hacker News报道梳理了隐藏提示复制进新文档的过程
Måløy从2026年3月6日起，就通过微软安全响应中心（MSRC）走正规的协调漏洞披露流程。
接下来的144天，像一场慢动作的攻防博弈：
3月底，微软确认了行为，产品团队着手缓解； 4月3日，第一次补丁上线，换了新的"Edit with Copilot"体验。原来的PoC措辞确实被堵住了。但Måløy换了个任务描述，这次让模型操纵财务数字，第二天就再次复现了； 7月14日，第二次大缓解上线，底层模型升级至GPT-5.5； - 7月15日
，Måløy在当时可用的GPT-5.6上跑通了包含蠕虫扩散的完整利用链。
你能想象微软工程师的心情吗？换了模型都没用
最终，双方同意在7月28日公开Måløy决定只披露攻击机制与类别，不公开完整的payload文本。他的逻辑是，防御方如果不知道风险存在，就无法调整流程；而继续沉默并不能提供额外保护
▲ Hacker News讨论中，有用户把问题归结为指令与数据混用
为什么这个漏洞"修不死"？
这部分触及了系统架构
Måløy的核心论证指向一个架构级困境：大模型必须先处理外部内容，才能判断它是否恶意，但"处理"本身，就已经让攻击者的token参与了计算。 这就像让一个翻译员先把一封信完整翻译出来，然后再判断信中是否包含恶意命令，问题在于翻译过程本身已经构成执行。
你说加个过滤器？在前面再放一个LLM来审查？那只是把同一个问题外推了一层，那个审查用的LLM同样面临"先读后判"的悖论。Hacker News上有人精辟地比喻："这就像退回了最糟版本的冯·诺依曼架构，程序和数据完全不可分。"
而且，自然语言没有"关闭宏"按钮 90年代宏病毒肆虐时，微软最终的杀招是默认禁用宏、强制签名。但Copilot的全部价值就建立在"能读你的材料"上，如果完全禁止模型阅读附件，产品就没用了；允许阅读，解释器就重新打开 这是一个产品逻辑和安全逻辑的结构性死锁。
类似攻击早有先例
▲ 安全研究者Johann Rehberger早在2024年就公开过Copilot的高危数据外泄链，涉及提示注入、ASCII走私、不可见文本等技术
Copilot产品线上的攻击面，其实早已被反复检验。2024年，Rehberger就演示过钓鱼邮件通过提示注入窃取用户邮件和文档的完整利用链。2025年，Aim Security披露的EchoLeak（CVE-2025-32711）更是实现了零点击数据外泄。
而Måløy自己的"上下文坍缩"系列就是一条递进线：第一篇，网页投毒Copilot记忆；第二篇，邮件隐藏指令越权操作（拿到了CVE-2026-55145）；第三篇，也就是这次，文档指令自我复制。
从"偷数据"到"改数据"，再到"让改过的数据自行扩散"，攻击面在一步步升级。
更早的学术先声来自2024年的Morris II论文，以1988年经典互联网蠕虫命名，在RAG邮件助手场景中演示了"对抗性自复制提示"。那时还是实验室里的概念验证，而Måløy把同样的逻辑落在了全球装机量最大的办公套件上。
▲ Morris II论文："Here Comes The AI Worm"，AI蠕虫来了，两年后果然来了
社媒炸锅：没人想要的AI，还被黑了
▲ "没人想要装在电脑上的AI，居然还被攻破了，微软还修不好。"，一位用户的辛辣评论
披露报告公开后，X上的IT管理员们率先爆发了。
▲ 安全厂商Malwarebytes官方账号跟进：强调扩散不依赖宏或传统恶意软件
有人把受害者称为"零号病人"，对比说：1990年代的病毒好歹需要你双击附件，"而这次你只需要保持高效办公。" 还有人开始认真讨论：当AI生成的文档可能继承不可见指令时，"可信业务数据"这个概念还成立吗？
写在最后：我们该怎么办？
微软在声明中表示采用纵深防御，在多个环节阻断恶意指令，并建议客户"安装最新更新、谨慎对待未知来源内容、在使用或分享前审阅AI生成内容"。
但坦率地说，目前没有银弹 可以做的事情更多在流程层面：
- 把外部来源文档视为不可信输入
，交给Copilot前人工检查； 对财务、法务、对外发布等敏感文档做独立核对后再分发； 未部署该功能的环境，可在管理策略中限制或关闭Copilot； 在安全演练中，把"AI改写后的内部报告"纳入事件响应对象。
这个事件揭示了一次范式转换：当我们把"阅读-理解-写作-分享"这个完整闭环交给AI之后，文档本身就变成了代码，办公流程就变成了执行环境。 30年前我们花了一代人的努力驯服了宏病毒，而这一次，战场在自然语言里，没有"禁用宏"可以按。
欢迎来到AI安全的新纪元系好安全带
