這是一篇關於 AI 安全性的技術分析。對於剛接觸 LLM 應用開發或資安維運的工程師來說，最重要的一點是：不要以為 AI 只是在「讀取」資料，它實際上是在「執行」它讀到的所有指令。
這次被披露的漏洞屬於間接提示注入（Indirect Prompt Injection）的一種。簡單來說，攻擊者不需要直接對 AI 下指令，而是將惡意指令隱藏在文件（如 Word 檔）中。當使用者利用 Copilot 讀取該文件來生成新內容時，AI 會誤將文件內的隱藏文字當成系統指令來執行。
漏洞的核心運作機制
在實務操作中，攻擊者會將指令寫在 Word 文件中，並透過將文字顏色設為白色、字體縮小等方式，讓人類肉眼看不見。然而，當 Word 將內容傳送給大型語言模型（LLM）時，會先去除顏色與字體等格式資訊，將其轉為純文字。這導致 AI 能清晰地讀到這些隱藏指令，而使用者卻毫不知情。
這個攻擊鏈包含兩個危險步驟。首先是操縱內容，例如指令要求 AI 將報告中的所有財務數字全部除以二，從而竄改數據。其次是自我複製，指令會要求 AI 將這段惡意提示再次複製到生成的新文件中，並同樣使用白色文字隱藏。
這種自我複製的能力讓該漏洞具有傳播性。即便原始的惡意文件被刪除，只要受感染的生成文件被用於下一次的 Copilot 編輯會話，惡意指令就會再次生效，形成一種 AI 版本的隱形病毒。
觸發條件與限制
這並非零擊（Zero-click）攻擊，也不會像傳統木馬一樣直接執行惡意程式碼。它需要滿足以下條件才會觸發：
第一，使用者必須主動執行 Copilot 的起草或編輯操作。 第二，惡意文件必須進入 AI 的上下文（Context），例如被作為附件上傳，或者被 Microsoft 365 的 Work IQ（Copilot 背後的智能引擎）從 OneDrive 中自動檢索並選中。
這意味著如果 Work IQ 認為該惡意文件與當前任務相關，它就會將其納入參考資料，進而觸發注入攻擊。
為什麼傳統防禦手段難以根除
微軟嘗試過兩種緩解方案。一種是封鎖特定的關鍵字（黑名單），另一種是升級底層模型（例如從 GPT-5.5 升級到 5.6）。但研究人員發現，只要稍微修改指令措辭，就能繞過封鎖。
這揭示了 AI 安全的一個根本矛盾：模型必須先處理（Process）內容，才能判斷內容是否惡意。也就是說，內容在被檢測的過程中，就已經在參與攻擊行為。目前微軟強調，提示詞（Prompting）本身不能被視為可靠的安全邊界，真正的隔離應該由確定性的系統（Deterministic Systems）而非模型指令來控制。
實務上的防禦建議
對於工程師與企業使用者，目前的建議是採取零信任（Zero Trust）原則處理外部文件：
首先，將所有外部來源的文件視為不可信，在將其交給 AI 處理前，應先審查其內容。 其次，在分享或發布由 AI 生成或編輯的文件前，必須仔細檢查是否有異常的數據變動或隱藏內容。 最後，意識到 LLM 的輸出具有隨機性與易受操縱性，關鍵數據的校對仍需依賴人工或傳統的規則檢查工具。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。