Falha no Microsoft 365 Copilot permite que prompts ocultos sejam copiados para novos documentos do Word

Um pesquisador de segurança revelou uma técnica que permite inserir instruções ocultas em documentos do Word capazes de manipular o comportamento do Microsoft 365 Copilot e fazer com que esses comandos sejam copiados para novos arquivos gerados pela ferramenta. A descoberta foi divulgada por Håkon Måløy após um processo de divulgação responsável que durou 144 dias.

Na prova de conceito, o pesquisador demonstrou que um documento criado pelo próprio Copilot herdava as instruções ocultas e repetia o mesmo comportamento em uma nova sessão de edição, criando uma cadeia de propagação entre documentos. Apesar disso, a técnica não se espalha automaticamente: cada etapa depende de uma nova operação de criação ou edição utilizando o Copilot.

Segundo Måløy, o problema foi reportado à Microsoft em março. A empresa confirmou o comportamento em 31 de março e implementou duas medidas de mitigação: o bloqueio do prompt original utilizado na demonstração e a atualização do modelo para o GPT-5.5. No entanto, o pesquisador afirma que conseguiu contornar as proteções utilizando instruções modificadas no GPT-5.6 e reproduziu o comportamento novamente em 28 de julho.

O ataque não executa malware nem ocorre de forma automática. Para funcionar, é necessário que o usuário utilize o Copilot para criar ou editar um documento e que o arquivo malicioso seja incluído no contexto do modelo, seja como anexo ou por meio de um documento armazenado no OneDrive e selecionado automaticamente pelo Work IQ, mecanismo de inteligência do Microsoft 365 Copilot.

Na demonstração, o Copilot interpretou instruções ocultas presentes no documento como se fossem comandos legítimos do usuário. Como resultado, reduziu pela metade todos os valores financeiros de um relatório e inseriu novamente as instruções no documento final em texto branco com fonte de oito pontos, tornando-as praticamente invisíveis para o usuário.

De acordo com o pesquisador, o Word remove informações de cor e tamanho da fonte antes de enviar o conteúdo ao modelo de linguagem. Dessa forma, textos ocultos visualmente continuam legíveis para a IA. Parte do prompt alterava os dados do documento, enquanto outra parte instruía o Copilot a copiar e ocultar essas mesmas instruções no arquivo gerado.

Em outro teste, o Copilot localizou automaticamente um relatório trimestral armazenado no OneDrive e também um documento malicioso de análise de mercado localizado em outra pasta, considerado relevante pelo Work IQ. Posteriormente, mesmo sem o documento original presente, um relatório interno já contaminado foi suficiente para que o Copilot repetisse a alteração dos números em um novo relatório e copiasse novamente o prompt oculto.

Segundo Måløy, esse comportamento dificulta a identificação da origem da manipulação, já que o documento inicial deixa de fazer parte da cadeia e apenas os arquivos gerados internamente permanecem circulando.

Até a publicação da pesquisa, não havia um identificador CVE nem um boletim específico da Microsoft para essa vulnerabilidade. A empresa informa que o Copilot utiliza mecanismos para detectar tentativas de jailbreak e ataques de Cross-Prompt Injection (XPIA), além de proteções em tempo de execução e inspeção de e-mails pelo Defender for Office 365. Entretanto, nem a Microsoft nem o pesquisador confirmaram se essas camadas identificam a técnica demonstrada.

O pesquisador afirma que ainda não existe uma mitigação completa disponível para os clientes. Como medida preventiva, recomenda tratar documentos externos como potencialmente não confiáveis, revisar cuidadosamente os arquivos utilizados como contexto pelo Copilot e validar todo conteúdo gerado ou editado pela IA antes de compartilhá-lo.

A Microsoft já havia reconhecido, em uma publicação sobre memória em modelos de IA divulgada em junho, que instruções enviadas ao modelo não devem ser consideradas uma barreira de segurança confiável e que controles de acesso e isolamento precisam ser implementados por mecanismos determinísticos, e não apenas por prompts.