AI助手在办公场景中的普及，正在将文档从被动的内容载体转变为主动的执行环境。当安全研究员展示了一种能藏匿于Word文档并劫持微软Copilot的自传播蠕虫，这一转变的潜在风险被清晰地暴露出来。
发生了什么
一位安全研究员构建了一种新型攻击原型：它利用微软Copilot for Word的上下文理解能力，在文档中植入不可见的提示注入。当用户打开或复用这些文档时，Copilot会读取文档内容并执行其中的隐藏指令，从而自动生成包含恶意指令的新文档，并可能通过邮件或共享渠道传播给其他用户，形成蠕虫式的自我复制。微软已确认该问题，但在144天内两次尝试修复均未能彻底解决。
为什么重要
这一事件揭示了AI助手安全性的一个核心悖论：为了提供智能辅助，AI必须读取并信任文档内容，而文档恰恰是攻击者可以完全控制的输入。传统安全模型假设文档是静态数据，但Copilot这类工具将文档内容转化为可执行的指令，模糊了数据与代码的边界。攻击者无需利用系统漏洞，只需利用AI的“信任”即可实现传播。此外，微软的修复失败表明，这类问题的根除并非简单的补丁可以解决，它涉及AI产品设计中的根本权衡——如何在功能性与安全性之间取得平衡。
影响与看点
对于企业用户，这一攻击模式意味着文档共享和协作流程可能成为攻击链的一部分，尤其是那些依赖Copilot处理敏感信息的组织。开发者需要重新审视AI集成中的输入验证和沙箱机制，而不仅仅是依赖内容过滤。行业层面，这起事件可能推动AI安全标准的建立，例如对文档中的指令进行隔离或标记。值得关注的是，微软在144天内的两次修复尝试均未成功，这暗示了问题的复杂性——可能需要对Copilot的架构进行更深层的调整。独立来看，AI助手的普及将迫使安全社区重新定义“恶意软件”的范畴：当指令注入可以自我复制，传统防病毒软件是否还能有效应对？这将是未来一段时间内值得持续观察的议题。
