Instruções ocultas em um documento do Word podem fazer o Microsoft 365 Copilot reescrever valores em um relatório e, depois, copiar as mesmas instruções para o arquivo final.
Håkon Måløy revelou a técnica em 28 de julho, 144 dias depois de tê-la reportado à Microsoft.
No proof of concept apresentado por ele, o arquivo gerado internamente disparou o mesmo comportamento quando foi usado em uma segunda sessão de elaboração com o Copilot.
A linha do tempo de Måløy indica que a Microsoft confirmou o comportamento relatado em 31 de março e aplicou duas medidas de mitigação.
A primeira bloqueou a formulação original do prompt; a segunda atualizou o modelo subjacente para GPT-5.5.
Ele afirma que a cadeia completa continuou funcionando com instruções modificadas no GPT-5.6 no dia seguinte, e que a classe de ataque ainda podia ser reproduzida em 28 de julho.
“A classe de vulnerabilidade, portanto, continua explorável no momento da publicação”, disse Måløy.
O ataque não é de clique zero e não executa malware convencional.
Ele exige uma operação de elaboração ou edição no Copilot, e o documento malicioso precisa entrar no contexto do modelo como anexo ou como uma fonte do OneDrive selecionada pelo Work IQ, o mecanismo de inteligência por trás do Microsoft 365 Copilot.
A divulgação não relata exploração em ambiente real, e Måløy não divulgou o payload completo.
Ele recomenda tratar documentos externos como não confiáveis, revisar arquivos anexados antes de iniciar uma geração ou edição e verificar arquivos gerados ou alterados pelo Copilot antes de reutilizá-los ou compartilhá-los.
A cadeia opera por meio do texto do documento e do próprio comportamento de elaboração do Copilot.
O Copilot lê os arquivos de origem para decidir o que pertence ao rascunho e pode confundir instruções dentro deles com parte do pedido do usuário.
No proof of concept, ele reduziu pela metade todos os valores financeiros, copiou o prompt completo para a saída em texto branco de 8 pontos e não revelou nenhuma das alterações.
Måløy disse que o Word remove cor e tamanho da fonte antes de enviar o texto do documento para o modelo de linguagem, deixando instruções em branco sobre branco legíveis para o modelo.
Uma parte do payload alterava o documento; a outra instruía o Copilot a copiar e ocultar as instruções, enquadrando esses comandos como exigências de rastreamento da origem e de legibilidade.
A Microsoft informa que o Word pode embasar um rascunho com até 20 arquivos, emails ou reuniões, e que o Edit with Copilot pode usar o Work IQ.
O recurso Edit with Copilot ainda está sendo distribuído globalmente para usuários com licenças elegíveis.
No teste de Måløy, o Copilot pesquisou o OneDrive em busca de um relatório trimestral, encontrou a análise de mercado maliciosa fora da pasta que continha as demais fontes e a incluiu.
O Work IQ ainda precisou considerar o arquivo relevante.
Com o documento malicioso original ausente e apenas o relatório do primeiro trimestre infectado anexado, o Copilot reduziu os valores em um rascunho do segundo trimestre e anexou o prompt novamente.
O novo vetor era um documento comum, gerado internamente.
A cadeia não se propaga sozinha: cada salto exige outra operação de elaboração ou edição no Copilot, na qual o vetor entra no contexto do modelo.
A formatação oculta é apenas a porta de entrada.
Depois que o Copilot copia as instruções para um documento gerado internamente, a fonte original deixa de estar presente quando esse arquivo entra na sessão seguinte.
Måløy argumenta que essa quebra na trilha de procedência torna a manipulação mais difícil de rastrear.
Até a publicação, não havia CVE público nem aviso específico da Microsoft sobre a descoberta no Word em buscas no NVD, no CVE.org e no guia de atualização de segurança da Microsoft.
A empresa afirma que classificadores de jailbreak e de cross-prompt injection attack (XPIA) ajudam a bloquear prompts de alto risco, embora possam não estar disponíveis em todos os cenários do Copilot.
O Defender for Office 365 acrescenta inspeção no fluxo de email para mensagens recebidas.
A Microsoft descreve as proteções em tempo de execução do Copilot como capazes de cobrir instruções injetadas a partir de conteúdo fundamentado.
Nem a Microsoft nem Måløy afirmam se esse payload exato é detectado em qualquer uma das camadas.
Segundo Måløy, não existe uma correção do lado do cliente que resolva completamente o problema.
O argumento dele é que bloqueios específicos para um payload não alcançam a classe inteira, porque o modelo precisa processar o conteúdo controlado pelo atacante para decidir se ele é malicioso, de modo que “o conteúdo que está sendo inspecionado participa do ato de inspeção”.
A Microsoft fez um ponto relacionado em uma publicação de junho sobre memória de IA, afirmando que “só o prompting não é uma barreira de segurança confiável” e que o acesso à memória e o isolamento devem ser controlados por sistemas determinísticos, e não por instruções do modelo.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...