Classe de falha na inteligência artificial do Microsoft 365 contorna filtros de segurança, altera dados em documentos gerados e replica cargas úteis em novos arquivos sem rastreamento de proveniência.
| Componente | Microsoft 365 Copilot para Word e motor de inteligência Work IQ |
| Vetor | Injeção de prompt direta e indireta (XPIA) via texto invisível anexado ou indexado no OneDrive, exigindo a abertura ou edição do arquivo pelo usuário |
| Impacto | Manipulação não autorizada de conteúdo factual, replicação autônoma de instruções maliciosas em novos documentos e quebra de rastreamento de origem do arquivo |
| Prioridade | Tratar todo documento externo como não confiável, revisar manualmente arquivos gerados antes do reuso e aprimorar a supervisão de fontes anexadas nas sessões de inteligência artificial |
Uma vulnerabilidade na classe de injeção de prompt afeta o Microsoft Copilot para Word, permitindo que instruções ocultas em documentos forcem a inteligência artificial a alterar dados sensíveis e a copiar essas mesmas instruções para arquivos recém-gerados. A técnica foi detalhada pelo pesquisador Håkon Måløy, que demonstrou como comandos embutidos no texto podem manipular o comportamento padrão de redação da ferramenta. O ciclo de vida do ataque comprova que a incorporatedção de regras ocultas sobrevive à criação de novos relatórios, transformando documentos internos originais em vetor de propagação para futuras sessões de edição assistida por inteligência artificial.
O pesquisador reportou a falha para a Microsoft e aguardou cento e quarenta e quatro dias antes de tornar a técnica pública. A fabricante confirmou o comportamento reportado no final de março e implementou duas mitigações principais para bloquear a cadeia de exploração. A primeira atualização focou no bloqueio sintático das palavras originais utilizadas no prompt malicioso. A segunda medida consistiu na atualização do modelo fundamental de linguagem para uma versão superior. Contudo, testes subsequentes realizados imediatamente após as atualizações de segurança demonstraram que instruções levemente modificadas continuavam executando a cadeia completa de ataque, confirmando que a superfície de vulnerabilidade permanece acessível na data de publicação original.
Por se tratar de uma exploração fundamentada no processamento de linguagem natural, o ataque não executa códigos binários convencionais na máquina local não depende de vulnerabilidades tradicionais de corrupção de memória. O pré-requisito técnico para o acionamento é a interação do usuário com a funcionalidade de criação ou edição de textos através do Copilot. Neste cenário, o arquivo malicioso precisa entrar no contexto do modelo de inteligência artificial como um anexo direto ou ser resgatado automaticamente pelo motor de busca Work IQ, que atua varrendo repositórios corporativos em busca de informações relevantes para compor o documento solicitado.
O fluxo de ataque é construído sobre a forma como o Copilot lê arquivos de origem para decidir o que deve ser incluído em um rascunho. A ferramenta interpreta instruções embutidas no texto como se fossem requisições diretas do usuário. No prova de conceito divulgada, a inteligência artificial foi instruída a reduzir todos os valores financeiros pela metade durante a reescrita do relatório. Simultaneamente, um comando secundária forçou a cópia integral do prompt malicioso para dentro do arquivo de saída, utilizando formatação disfarçada de requisitos de rastreabilidade de origem e métricas de leitura de texto.
A evasão visual inicial é garantida pelo uso de texto na cor branca e com fonte em tamanho mínimo. O pesquisador explicou que a aplicação de processamento de texto remove atributos visuais como cor de fonte e tamanho antes de enviar o conteúdo para o modelo de linguagem. Essa sanitização visual corporativa garante que as instruções ocultas em fundo branco sejam perfeitamente legíveis para a inteligência artificial, permitindo a interpretação e execução dos comandos sem que o usuário final perceba a existência do código estruturado no meio do texto.
A partir deste ponto, a cadeia estabelece um mecanismo de propagação documental persistente. Quando o relatório trimestral contaminado é gerado pela inteligência artificial, o arquivo resulta em um documento interno legítimo, mas carregando as instruções ocultas. Ao ser utilizado em uma nova sessão de edição, o novo arquivo aciona o mesmo comportamento, alterando valores e reinscrevendo as instruções em uma nova geração textual. Essa quebra de proveniência, onde o documento portador não precisa mais estar vinculado ao arquivo malicioso original, dificulta severamente o rastreamento forense da origem do ataque.
A superfície de impacto abrange diretamente o ecosistema de produtividade baseado em nuvem e estáções de trabalho corporativas. A exploração afeta usuários que possuem licenças elegíveis para as funcionalidades do Microsoft 365 Copilot, incluindo a ferramenta de edição contínua através do motor Work IQ. Como a integração permite que até vinte arquivos, e-mails ou gravações de reuniões sejam utilizados simultaneamente como contexto para a redação, a janela de oportunidade para que um documento malicioso entre no escopo do modelo é ampla.
A dinâmica de busca automática do repositório eleva o risco intrínseco. Testes realizados na prova de conceito revelaram que, mesmo que o documento malicioso não esteja no mesmo diretório dos arquivos de trabalho legítimos, o Work IQ o localiza no OneDrive e o julga como relevante para a composição do texto gerado. Está característica de busca global estabelece uma rota de infecção indireta e silenciosa, onde arquivos antigos ou esquecidos no repositório corporativo podem ser acionados pelo agente inteligente sem validação humana prévia.
- Documentos do Microsoft Word processados pelo Microsoft 365 Copilot.
- Motor de indexação e inferência de conteúdo Work IQ integrado ao ecosistema de segurança e produtividade da Microsoft.
- Repositórios corporativos do OneDrive, alvos de varredura automática em busca de fontes para enriquecimento textual.
- Funcionalidades de redação contínua onde múltiplos arquivos de padrões variados servem como base de conhecimento não confiável.
As defesas atuais notificadas pela Microsoft baseiam-se em classificadores heurísticos para bloqueio de fugas de sistema (jailbreak) e injeções indiretas. Contudo, a fabricante admite que essas camadas de proteção em tempo de execução podem não cobrir todos os cenários operacionais do Copilot. Produtos vinculdos como o Defender para Office 365 aplicam regras de inspeção de tráfego para e-mails de entrada, mas estão limitados ao fluxo de mensagens tradicionais. Não há afirmações Claras sobre a eficácia destes filtros na hora de bloquear precisamente este padrão de manipulação dentro de um texto White-paper.
A principal barreira de contorno tecnicamente insolúvel apontada pelo pesquisador reside na própria arquitetura da inteligência artificial. Como a camada de leitura é intrinsicamente projetada para interpretar e seguir comandos em linguagem natural, separar dados de comandos é um paradigma não resolvído por filtros sintáticos. Em documentação oficial paralela sobre arquitetura de inteligência artificial corporativa, a própria Microsoft recomenda que ferramentas de prompt não devem atuar como perímetro de confiabilidade absoluta. A recomendação arquitetural oficial defende que acessos a memórias e isolamento de dados devem ser克制ados por sistemas determinísticos, não por inferências de rede neural.
- Monitorar logs de uso da ferramenta de inteligência artificial buscando padrões de leitura anômala de fontes externas sem interação explícita direta.
- Analisar hashes e memória cache de documentos gerados pelo Copilot que apresentem formatação de texto branca sobre fundo branco, uma assinatura comportamental da técnica divulgada.
- Inspecionar diretórios do OneDrive repentinamente sinalizados como prioritários pelo serviço de indexação Work IQ durante operações de redação.
- Buscar por padrões de texto conhecidos em metadados e cabeçalhos ocultos de arquivos oficiais dentro do ecossistema documental.
O tratamento puramente reativo à exploração exige a revisão manual minunciosa de qualquer anexo gerado ou editado pela inteligência artificial. Como a técnica não exige binários maliciosos e opera exclusivamente sobre manipulação de dados, todos os documentos externos devem receber classificação de confiabilidade baixa por padrão. A regra principal nas Operações de Segurança deve tratar a origem de dados da mesma forma que tratam códigos não assinados enviados por e-mail.
A defesa em profundidade requer que os times de AppSec e Cloud Security implementem隔离amento rwbolustos em pipelines que conectam a inteligência artificial a bases de dados de negócios críticos. A sanitização de atributos visuais, embora previna a visualização indevida, não atua como camada de segurança textual, evidenciando a necessidade de estabelecer modelos de confiança explícitos onde ferramentas de linguagem operam sob regras estritas de esquema de dados permitidos.
- Estabelecer treinamento contínuo para usuários no que tange à associação de dados: nunca anexar fontes externas não atestadas em sessões sensíveis de edição automática.
- Reforçar o princípio de zero-trust documental, exigindo validação humana e técnica antes que relatórios trimestrais ou financeiros sejam publicados após passarem pelo motor de inteligência.
- Aguardar ou desenvolver sistemas determinísticos externos ao modelo de linguagem que limitem as ações permitidas (como cópia de textos sem fontes ou alteração de valores contábeis), baseando-se em regras imutáveis do que em interpretações de prompt.
0 Comentários