A descoberta e o cronograma
Instruções ocultas em um documento do Word podem fazer o Microsoft 365 Copilot reescrever valores em um relatório e, em seguida, copiar as mesmas instruções para o arquivo finalizado. Håkon Måløy divulgou a técnica em 28 de julho, 144 dias após reportá-la à Microsoft.
Em sua prova de conceito, o arquivo gerado internamente disparou o mesmo comportamento quando foi usado em uma segunda sessão de redação do Copilot.
Segundo o cronograma de Måløy, a Microsoft confirmou o comportamento reportado em 31 de março e implantou duas mitigações. A primeira bloqueou a formulação original do prompt (instrução enviada ao modelo); a segunda atualizou o modelo subjacente para o GPT-5.5.
Ele afirmou que a cadeia completa funcionou com instruções modificadas no GPT-5.6 no dia seguinte, e a classe de ataque continuou se reproduzindo em 28 de julho. "Portanto, a classe de vulnerabilidade continua explorável no momento da publicação", disse Måløy.
Como o ataque funciona
O ataque não é do tipo zero-click (não dispara sem interação do usuário) e não executa malware (software malicioso) convencional. Ele exige uma operação de redação ou edição do Copilot, e o documento malicioso precisa entrar no contexto do modelo como anexo ou como fonte do OneDrive selecionada pelo Work IQ, o motor de inteligência por trás do Microsoft 365 Copilot.
A divulgação não relata exploração em ambientes reais, e Måløy reteve o payload (código malicioso) completo. Ele recomenda tratar documentos externos como não confiáveis, revisar documentos anexados antes de iniciar uma geração ou edição e verificar arquivos gerados ou editados pelo Copilot antes de reutilizá-los ou compartilhá-los.
A cadeia percorre o texto do documento e o próprio comportamento de redação do Copilot. O Copilot lê os arquivos de origem para decidir o que deve entrar em um rascunho e pode confundir instruções dentro deles como parte da solicitação do usuário. Na prova de conceito, ele reduziu pela metade todos os valores financeiros, copiou o prompt completo para a saída em texto branco de oito pontos e não revelou nenhuma das alterações.
Måløy afirmou que o Word remove cor e tamanho da fonte antes de enviar o texto do documento ao modelo de linguagem de grande porte, deixando as instruções brancas sobre branco legíveis para o modelo. Uma parte do payload alterou o documento; a outra instruiu o Copilot a copiar e ocultar as instruções, enquadrando esses comandos como requisitos de rastreamento de origem e legibilidade.
O papel do Copilot na seleção de fontes
A Microsoft afirma que o Word pode basear um rascunho em até 20 arquivos, e-mails ou reuniões, e o recurso Editar com Copilot pode usar o Work IQ. Editar com Copilot ainda está sendo distribuído globalmente para usuários com licenças elegíveis. No teste de Måløy, o Copilot pesquisou no OneDrive por um relatório trimestral, encontrou a análise de mercado maliciosa fora da pasta que continha as outras fontes e a incluiu. Ainda assim, o Work IQ precisou considerar o arquivo relevante.
Com o documento malicioso original ausente e
