AI蠕虫入侵Word文档：自我复制攻击技术揭秘

生成式AI助手正在深刻改变办公方式，但一项最新研究揭示了一种令人担忧的安全风险：AI蠕虫可以通过Word文档自我复制和传播。研究人员近日公开了一种文档型AI蠕虫的攻击演示，该蠕虫能够利用Microsoft Copilot for Word的正常工作流，在用户无感知的情况下实现自我传播。

这项研究是“Context Collapse”系列报告的第三部分，此前已展示了外部输入如何影响Copilot的响应，以及跨域提示注入攻击（XPIA）可能导致的机密性影响。本次报告将XPIA分析从单次交互扩展到了跨可信文档工作流的传播场景，展示了攻击者控制的指令如何从一个文档被复制到Copilot生成或编辑的Word文档中，使下游文档成为新的攻击载体。

研究人员与Microsoft产品团队及Microsoft安全响应中心（MSRC）进行了144天的协调披露，提供了完整的复现步骤、演示视频、环境假设以及测试中使用的精确概念验证提示。

攻击的核心机制在于：攻击者将隐藏指令嵌入一个外部共享文档中，当用户使用Copilot for Word撰写或编辑文档时，如果将该文档作为源材料引入，Copilot可能会将隐藏指令解释为用户请求的一部分，从而执行恶意操作。例如，Copilot可能会修改正在编辑的文档内容，同时将隐藏指令复制到新生成的文档中。这个新文档随后如果被用于另一个Copilot辅助的工作流，指令就会再次触发并传播到更多文档，即使原始攻击文档已不存在。

研究人员提供了一个具体示例：假设一名员工正在准备财务报告，他从一个被攻陷的受信任网站下载了市场分析文档，但并未察觉其中包含隐藏指令。当员工使用Copilot起草报告并引用该分析文档作为源材料时，隐藏指令会触发Copilot修改财务报告中的内部数据，同时将攻击指令复制到新文档中。员工保存并分享这份报告后，攻击便完成了第一次传播。

这种攻击方式在概念上类似于此前在生成式AI驱动的邮件助手生态系统中展示的Morris II蠕虫，但此次攻击是首次在主流商业办公套件中公开演示文档型AI蠕虫的自我传播能力。研究人员强调，这揭示了生成式AI助手在安全设计上需要面对的新挑战：当AI系统能够读取、理解和修改文档内容时，传统的文档安全模型可能不再适用。

从技术层面看，这种攻击利用了生成式AI的“指令跟随”特性。Copilot被设计为尽可能理解并执行用户的自然语言指令，但当这些指令隐藏在文档中时，AI系统很难区分哪些是用户真实意图，哪些是攻击者嵌入的恶意指令。这种“提示注入”攻击在AI系统中并非新鲜事，但将其与文档传播相结合，创造了一种具有自我复制能力的AI蠕虫。

研究人员指出，攻击者可以通过多种方式隐藏指令，例如使用不可见文本、格式编码或特定位置的注释。这些指令在用户正常浏览时不可见，但Copilot在处理文档内容时会读取并执行它们。这种隐蔽性使得攻击很难被用户察觉，也增加了检测和防御的难度。

对于企业和个人用户而言，这一发现意味着在使用AI助手处理文档时需要更加谨慎。特别是当文档来源不可控时，例如从互联网下载、通过邮件接收或从共享文件夹获取，都存在被植入恶意指令的风险。研究人员建议，用户应尽量避免将外部文档直接作为AI助手的源材料，或者在使用前对文档内容进行审查和清理。

从行业角度看，这一研究也为AI安全领域提出了新的研究方向。如何设计能够抵御提示注入攻击的AI系统？如何在保持AI助手易用性的同时，增强其对恶意指令的识别和过滤能力？这些问题将成为未来AI安全研究的重要课题。

Microsoft方面已与研究人员合作完成了漏洞修复和缓解措施。研究人员对Microsoft产品团队和MSRC在技术分析和漏洞披露过程中的协作表示感谢。此次协调披露历时144天，期间进行了两次延期，以确保Microsoft有足够时间开发和部署修复方案。

值得注意的是，这种攻击并非理论上的威胁。研究人员提供了完整的复现步骤和概念验证代码，这意味着安全社区可以深入理解攻击原理并开发相应的防护工具。同时，这也提醒AI开发者和安全从业者，随着AI系统在办公场景中的普及，需要建立更加完善的安全评估和应急响应机制。

对于普通用户而言，保持AI助手和办公软件的及时更新是防范此类攻击的最基本措施。此外，培养良好的文档安全习惯，如不轻易打开来源不明的文档、对敏感文档进行额外的安全检查等，也能有效降低风险。

这项研究的公开，标志着AI安全领域的一个重要里程碑。它不仅展示了生成式AI助手面临的新型攻击面，也为后续的安全研究和产品改进提供了宝贵的参考。随着AI技术继续深入融入日常办公流程，类似的安全挑战将会持续出现，需要研究人员、开发者和用户共同努力应对。