Investigador cria worm que se espalha em Word e controla o Microsoft Copilot

Um investigador de segurança norueguês mostrou como um simples documento Word pode transformar o Microsoft Copilot num correio expresso de malware lógico. Håkon Måløy criou um ataque em forma de worm que se propaga sozinho entre ficheiros, usando apenas texto invisível e a confiança cega que estamos a dar à IA dentro das ferramentas de escritório.

O truque é velho no Word, a aplicação é que agora é nova. O atacante esconde instruções em texto branco sobre fundo branco, em corpo minúsculo. Quem abre o ficheiro não vê nada. Mas o Copilot vê tudo, porque antes de processar o conteúdo “limpa” cores e tamanhos de letra. Resultado: o utilizador acha que está a pedir um resumo inocente, o Copilot lê também o texto invisível e executa as instruções maliciosas.

O que Måløy montou é um ataque com comportamento de worm: o Copilot, obediente, copia essas instruções escondidas para o novo documento que está a gerar. Esse novo ficheiro passa a ser outro portador. Se alguém o usar como base para mais relatórios, o ciclo repete-se. Imagina um estudo de mercado descarregado da internet com este payload escondido a contaminar um relatório financeiro interno, que por sua vez contagia relatórios seguintes. A cadeia de confiança que as empresas têm em documentos “Word+Copilot” fica ao nível de um anexo suspeito de há 20 anos, mas agora com IA a escalar o dano.

Segundo o investigador, a Microsoft confirmou o comportamento a 31 de março. Tentou duas correções, ambas falhadas. Ao fim de 144 dias sem solução, Måløy decidiu publicar o método, mas guardou para si o texto de payload para não facilitar a vida a atacantes preguiçosos. Não é um zero-day clássico, é pior: é um problema estrutural de injeção de prompts, a mesma categoria de falhas que está a assombrar agentes de IA e que já vimos noutros casos em que modelos saem da sandbox e tocam em sistemas reais.

O episódio também responde a quem ainda trata a segurança em IA como exagero académico. O próprio Andreas Kirsch, investigador na área, tinha ironizado em público que “gostava que alguém construísse este worm” para calar cépticos. Já existe. E ao contrário de um exploit clássico que depende de buffer overflows ou drivers desactualizados, aqui o bug é social e de desenho: pedimos a um assistente obediente que confie cegamente em tudo o que vem do contexto, incluindo texto que o utilizador nem sabe que lá está.

Para empresas que já meteram Copilot em tudo o que é fluxo de trabalho, isto devia ser um sinal de stop, não de yield. Sem um modelo de segurança minimamente maduro, cada documento partilhado passa a ser uma superfície de ataque e cada chamada à IA é uma execução potencial de código em linguagem natural. Måløy mostrou o worm dentro do Word, mas o padrão aplica-se a apresentações, e-mail e a qualquer agente que leia dados ricos e cumpra instruções escondidas. Continuar a ampliar o alcance destes copilotos sem resolver injeções de prompt é pedir mais um escândalo de segurança, não uma mera nota de rodapé técnica.

Fonte: The Decoder