Badacz Håkon Måløy odkrył sposób na przekształcenie klasycznego ataku prompt injection w samoreplikującego się robaka działającego w Microsoft Word. Mechanizm jest prościej niż mogłoby się wydawać - atakujący wstawia ukryte instrukcje do dokumentu, najczęściej jako biały tekst na białym tle. Gdy dokument ten trafia jako materiał źródłowy do Copilota dla Worda, model interpretuje te instrukcje jako część żądania użytkownika i wykonuje je, modyfikując dokument będący w edycji.
Najgorszym aspektem jest jednak to, co dzieje się dalej. Copilot automatycznie kopiuje ukryte instrukcje do nowo tworzonego dokumentu, zamieniając go w nowy wektor ataku. Jeśli ten zainfekowany dokument trafi do kolejnego workflow Copilota, instrukcje znowu się uruchomią i rozprzestrzeniają się dalej. Co ważne, atak działa nawet bez oryginalnego dokumentu atakującego - robak żyje swoim życiem w łańcuchu dokumentów. Zjawisko ukrytego tekstu nie jest nowe, studenci od lat wstawiają białe słowa w CV, ale to pierwszy znany przypadek celowego zaprojektowania instrukcji do samodzielnego replikowania się w ramach ekosystemu LLM.
Microsoft otrzymał odpowiadalne ujawnienie i miał 144 dni na przygotowanie łatki. Jednak do tej pory nie pojawił się patch, który by całkowicie blokował całą klasę tego ataku. To pokazuje, jak trudne jest bezpieczeństwo w erze generatywnych modeli AI - tradycyjne obrony mogą działać zbyt rygorystycznie dla normalnych użytkowników lub być zbyt łatwe do obejścia dla zmotywowanego atakującego.