Copilot in Word copia prompt malevoli nascosti e li propaga nei documenti

🛡️ Executive Summary

• Un documento Word può contenere istruzioni invisibili che Copilot interpreta come comandi e utilizza per alterare report e valori numerici.
• Copilot copia il prompt nascosto nei file generati, che possono riattivare l’attacco quando vengono riutilizzati in successive sessioni.
• Microsoft ha mitigato i payload segnalati, ma la classe di vulnerabilità resta riproducibile e non dispone di una correzione completa.

Microsoft Copilot in Word può essere indotto a interpretare istruzioni nascoste in un documento come parte della richiesta dell’utente, modificare silenziosamente il contenuto prodotto e copiare lo stesso prompt nei nuovi file. La tecnica, dimostrata dal ricercatore Håkon Måløy, trasforma un documento esterno in un vettore capace di propagarsi attraverso normali flussi aziendali basati su Microsoft 365, OneDrive, SharePoint e Teams. L’attacco non esegue malware e non è zero-click: richiede che il file contaminato entri nel contesto di una sessione di scrittura o modifica con Copilot. La classe di vulnerabilità risultava ancora riproducibile il 28 luglio 2026, dopo due interventi di mitigazione applicati da Microsoft.

Il testo invisibile diventa un comando per Copilot

L’attacco sfrutta la difficoltà dei modelli linguistici nel separare in modo affidabile le istruzioni dell’utente dai contenuti non fidati utilizzati come fonti. Un aggressore prepara un documento Word apparentemente legittimo e inserisce alla fine un prompt formattato con caratteri bianchi su sfondo bianco e dimensioni ridotte. Il testo rimane invisibile durante una normale lettura, ma Word elimina colore e dimensione dei caratteri prima di inviare il contenuto al modello, rendendo le istruzioni completamente leggibili da Copilot.

Quando il file viene allegato a una sessione di generazione oppure individuato automaticamente da Work IQ tra i documenti presenti in OneDrive, il modello può interpretare il prompt nascosto come una richiesta autorevole. Nel proof of concept, Copilot dimezzava tutti i valori presenti in un rapporto finanziario senza avvertire l’utente e senza indicare le modifiche apportate. Il problema appartiene alla categoria delle cross-prompt injection attack, nelle quali dati esterni vengono elaborati nello stesso contesto logico delle istruzioni fidate. Una debolezza analoga permette alle prompt injection invisibili di manipolare agenti collegati ad Azure DevOps, dimostrando che il rischio non dipende dal singolo modello ma dall’architettura che unisce input non attendibili, strumenti e dati aziendali.

Il file generato diventa un nuovo vettore interno

La parte più rilevante della ricerca riguarda la capacità di propagazione. Il prompt non si limita a modificare il rapporto creato da Copilot, ma ordina al modello di copiare integralmente le istruzioni nel documento risultante, ancora una volta utilizzando testo bianco e caratteri piccoli. Il nuovo file appare quindi come un normale documento prodotto internamente e può essere salvato, condiviso con colleghi oppure caricato su SharePoint. Se viene successivamente utilizzato come fonte per generare un secondo rapporto, il prompt si riattiva anche in assenza del documento malevolo originale, modifica il nuovo contenuto e copia nuovamente se stesso.

Ogni passaggio richiede una nuova sessione di drafting o editing e l’attacco non si diffonde autonomamente tra i sistemi, ma il comportamento ricorda un worm documentale basato sull’intelligenza artificiale. La provenienza diventa progressivamente più difficile da ricostruire perché i nuovi vettori sono file creati da utenti e servizi legittimi all’interno dell’organizzazione. Un documento ricevuto da un partner fidato potrebbe essere stato contaminato in una fase precedente, senza che il mittente ne sia consapevole. La dinamica estende il rischio già mostrato dalla Stealthy Memory Injection contro la memoria persistente degli agenti AI: le istruzioni ostili non devono restare collegate alla loro sorgente iniziale, ma possono diventare parte delle informazioni considerate affidabili dal sistema.

Work IQ può trovare il documento senza un allegato esplicito

La vittima non deve necessariamente selezionare manualmente il file ostile. Nella funzione Edit with Copilot, Work IQ può cercare in OneDrive documenti ritenuti pertinenti rispetto alla richiesta e aggiungerli al contesto. Durante i test, Copilot ha individuato una falsa analisi di mercato collocata in una cartella differente da quella contenente gli altri documenti aziendali e l’ha utilizzata per generare il rapporto finanziario. L’aggressore deve comunque preparare un contenuto sufficientemente coerente con l’attività della vittima affinché il motore lo consideri rilevante.

Questo requisito limita l’automazione indiscriminata dell’attacco, ma aumenta il rischio nelle campagne mirate contro aziende, studi professionali e amministrazioni che archiviano grandi quantità di documenti condivisi. La ricerca, la selezione e l’elaborazione automatica delle fonti riducono la visibilità dell’utente sui dati effettivamente consultati dal modello. Il problema non riguarda esclusivamente la riservatezza, ma l’integrità delle decisioni: report finanziari, documenti legali, preventivi, analisi operative e comunicazioni possono essere alterati in modo coerente ma difficilmente riconoscibile. La stessa convergenza tra contenuti non fidati e capacità operative ha consentito ad AWS Kiro di eseguire codice dopo una prompt injection proveniente da una pagina web.

Le mitigazioni Microsoft non chiudono la vulnerabilità architetturale

Måløy ha segnalato il comportamento al Microsoft Security Response Center il 6 marzo 2026, fornendo procedure di riproduzione, video e payload completi. Microsoft ha confermato il problema il 31 marzo e ha distribuito una prima mitigazione che bloccava la formulazione originale del prompt. Il ricercatore è però riuscito a riprodurre l’attacco utilizzando istruzioni differenti. Un secondo intervento, applicato il 14 luglio, ha aggiornato il modello sottostante a GPT-5.5, ma la catena completa è stata nuovamente eseguita il giorno successivo con GPT-5.6. La divulgazione è avvenuta dopo 144 giorni di coordinamento e senza la pubblicazione del payload completo. Nel rapporto tecnico sulla propagazione dei prompt nascosti attraverso Copilot in Word, il ricercatore afferma che gli interventi Microsoft hanno aumentato la difficoltà dello sfruttamento, ma non hanno eliminato la classe di vulnerabilità. Non risultano un identificativo CVE, un advisory autonomo o prove di attacchi reali. Microsoft utilizza classificatori contro jailbreak e XPIA, mentre Defender for Office 365 analizza le email in ingresso, ma non è stato chiarito se questi controlli individuino il payload specifico. Le organizzazioni devono quindi trattare i documenti esterni come contenuti ostili, verificare le fonti selezionate da Copilot e revisionare attentamente i file generati prima di condividerli o riutilizzarli. Una difesa più robusta richiederà metadati capaci di conservare provenienza, fonti e modifiche eseguite dal modello, perché il filtraggio basato esclusivamente su un altro LLM non crea un confine di sicurezza deterministico.