文档化AI蠕虫：Microsoft Copilot 沦为恶意代码自我传播的温床

事件核心

安全研究人员近期揭示了一种针对 Microsoft Copilot for Word 的新型攻击向量：AI 蠕虫（AI Worms）。通过利用“间接提示词注入”（Indirect Prompt Injection）技术，攻击者可以在 Word 文档中嵌入隐蔽的恶意指令。当受害者使用 Copilot 总结或处理该文档时，AI 会被诱导执行恶意逻辑，自动生成包含同样恶意指令的新文档或电子邮件，并将其分发给其他用户。这种机制实现了无需传统二进制代码、仅依靠自然语言指令即可完成的“零点击”自我复制与传播。

技术/商业细节

该研究的核心在于 LLM 对上下文处理的“边界模糊”。在 Copilot for Word 的工作流中，AI 具有读取当前文档上下文并根据用户需求生成新内容的权限。攻击者设计的恶意提示词通常包含两部分：一是逃逸指令，用于绕过系统的安全护栏；二是复制逻辑，命令 AI 在生成任何后续输出时，必须完整保留并嵌入这段恶意提示词。由于 Copilot 深度集成在 Microsoft 365 生态中，蠕虫可以轻易跨越应用边界，例如从 Word 文档扩散到 Outlook 邮件，利用 AI 的自动化功能实现指数级传播。这标志着网络攻击从传统的“代码执行”演变为“逻辑操纵”，极大地降低了恶意软件的开发门槛。

八卦分析：全球影响

「八卦资本」认为，这一发现撕开了当前“Agentic AI”（智能体化 AI）热潮下的安全遮羞布。微软等巨头正不遗余力地将 AI 嵌入生产力工具，赋予其读写权限，但这本质上是将“不可信的数据”与“高权限的执行环境”直接挂钩。在传统安全领域，数据与指令是分离的；但在 LLM 时代，数据即指令（Data is Code）。如果 AI 无法在语义层面区分用户的真实意图与文档中潜伏的恶意逻辑，那么每一个集成了 RAG（检索增强生成）或 Agent 功能的应用都可能成为蠕虫的载体。这不仅是技术漏洞，更是 LLM 架构底层的信任危机，可能会迫使企业重新评估 AI 自动化的部署节奏。

战略建议

• 架构级隔离： 企业应限制 AI Agent 的“写”权限，特别是跨应用的自动发送功能。所有由 AI 生成的外发内容必须经过人工审核（Human-in-the-loop）。
• 语义防火墙： 部署针对提示词注入的实时检测层，对输入 AI 的上下文进行预扫描，识别并过滤已知的恶意指令模式。
• 零信任 AI 策略： 默认将所有外部输入的文档视为“潜在注入源”，在处理此类文档时，应在受限的沙箱环境中运行 AI 任务，禁止其访问敏感 API 或联系人列表。