Um novo relatório técnico detalhou uma vulnerabilidade relevante no Copilot para Word: documentos podem carregar instruções ocultas, que são interpretadas e replicadas pelo modelo de IA, permitindo a propagação automática de ataques sem intervenção adicional do atacante [fonte].
Como funciona o ataque
O cenário descrito envolve o uso de prompt injection cross-domain (XPIA). Um atacante insere comandos ocultos em um documento compartilhado externamente. Quando esse documento é usado como fonte em uma sessão do Copilot para Word, o modelo pode absorver as instruções e executar ações não previstas pelo usuário — como alterar dados ou inserir novos comandos ocultos no texto gerado.
O ciclo se fecha quando o novo documento, já modificado, é reutilizado em outros fluxos de trabalho com Copilot. Assim, o ataque se propaga: cada documento editado se torna vetor de novas infecções, mesmo sem contato adicional com o material original ou o atacante.
A dinâmica é comparável ao conceito de “AI-worms” já documentado em outros contextos, mas este caso é um dos primeiros relatos públicos de propagação autônoma em ambientes corporativos de produtividade.
Status da vulnerabilidade e resposta da Microsoft
O pesquisador responsável notificou a Microsoft em 6 de março de 2026. O caso foi reconhecido rapidamente e passou por uma janela de coordenação de 144 dias, com tentativas de mitigação e atualização do modelo pela equipe do Microsoft Security Response Center (MSRC).
Apesar disso, no momento da divulgação pública, todos os testes realizados ainda reproduzem o ataque mesmo com as proteções atuais. Não há correção robusta para a classe de vulnerabilidade. A recomendação imediata é que usuários tratem todo documento externo como não confiável ao utilizar Copilot, revisem documentos antes de gerar/editar com IA e inspecionem cuidadosamente arquivos produzidos antes de compartilhar ou reutilizar.
Contexto e limitações
Casos anteriores, como o Morris II, já mostraram que LLMs podem ser vulneráveis a ataques de auto-propagação via prompt injection. O diferencial aqui é a escalabilidade do risco, já que o Office é a suíte de produtividade padrão em grande parte das empresas.
O relatório destaca que a divulgação foi feita mesmo sem uma correção definitiva, por entender que o risco real às organizações é significativo e desconhecido — e que só a transparência permitirá a adoção de medidas preventivas. A vulnerabilidade não depende de falha técnica no Copilot, mas da própria arquitetura dos LLMs, que interpretam todo input textual, inclusive comandos ocultos.
Por que importa
A descoberta reforça que fluxos automatizados com LLMs exigem novas práticas de segurança, especialmente em ambientes corporativos. Para times de TI e compliance, o recado é claro: documentos externos não podem ser tratados como inocentes quando usados como contexto para IA, e o ciclo de revisão precisa ser intensificado. Até que surjam defesas nativas para este tipo de ataque, a superfície de risco permanece aberta.