Исследователь безопасности показал, как один заражённый документ Word превращает Copilot в разносчика атаки. Microsoft подтвердила проблему и за 144 дня координации так и не закрыла её.
Атакующий прячет в документе инструкции — белый текст на белом фоне, мелкий кегль. Человек их не видит. Copilot видит: перед отправкой в модель он срезает всё форматирование, и скрытый текст становится обычной частью запроса.
Дальше сотрудник берёт этот файл как источник для отчёта. Copilot читает инструкции и выполняет их. В проверочном сценарии он вдвое занизил все финансовые показатели в квартальном отчёте — молча, без единого упоминания в ответе.
Главное во второй части закладки. Copilot копирует вредоносный промпт в конец созданного документа — снова белым текстом, кегль 8. Новый отчёт сам стал носителем.
Коллега берёт его как источник для следующего отчёта — атака срабатывает снова и копируется дальше. Исходный заражённый файл в цепочке уже не нужен.
Доступ к корпоративному тенанту атакующему не требуется. Достаточно прислать документ через Teams, Outlook или SharePoint. В режиме «Edit with Copilot» вложение вообще не обязательно: Copilot сам ищет подходящие файлы в OneDrive пользователя и в тестах подтянул вредоносный документ из посторонней папки.
Microsoft получила отчёт 6 марта 2026 года и подтвердила поведение в конце месяца. Первое исправление обошли, переформулировав промпт. Второе свелось к обновлению модели до GPT-5.5 — атака воспроизвелась на GPT-5.6. 28 июля, в день публикации, она всё ещё работала.
Рекомендации для клиентов такие: считать внешние документы недоверенными, проверять вложения до запуска Copilot и вычитывать всё, что Copilot сгенерировал, перед пересылкой. Патча нет.
Саморазмножающиеся промпты показывали и раньше — червь Morris II расползался через ИИ-ассистентов для почты. Но это одна из первых публичных демонстраций в массовом офисном пакете.
Правки Copilot не подсвечиваются после принятия. Найти внутри компании документ, с которого всё началось, практически невозможно.
