Microsoft Simon 警示：Copilot 的 Word 蠕虫让受信任文件变成传播载体

一名研究人员在两次缓解措施后，仍通过 Word 复现了可自我传播的提示词攻击，Microsoft 因此面临新的 Copilot 安全警示。技术专家 Simon Willison 所关注的 microsoft simon 事件，并不只是隐藏的白色文字影响一次 AI 回复。相关指令还能进入新文档，并让这份原本受信任的文件成为新的传播载体。

挪威数据科学家 Håkon Måløy 在与 Microsoft 协调 144 天后，于 2026 年 7 月 28 日披露了这项研究。他表示，在当前所有缓解措施均已部署的情况下，该攻击仍可复现。Microsoft 表示，已处理他报告的发现，并正持续加强针对这类更广泛风险的防护措施。

核心矛盾在于 Copilot 的实用性，以及这种实用性所依赖的信任模型。Word 必须允许 Copilot 读取参考文档、理解其含义，并生成新内容。而这些相同能力也会让恶意内容与用户的真实指令竞争，并进入原本正当的工作成果。

这与关于自我复制提示词的 Morris-II 研究相似，但如今的载体是一份普通办公文档。据报道，这种攻击不需要可执行宏、被盗的租户凭据，也不需要持续访问原始恶意文件。它依赖的只是员工让 AI 助手完成一项日常起草任务。

Word 文档不会停留在最初的威胁状态

Måløy 的核心发现是传播性：一个被投毒的源文件能够让看似干净的输出继续携带相同的隐藏指令。

攻击始于有人收到一份由攻击者控制的 Word 文档。它可能通过电子邮件、Teams、SharePoint 或其他常规共享渠道送达。之后，用户将该文档作为 Copilot 起草或编辑任务的源材料。

Måløy 使用白底白字的小号文字，将恶意提示词置入源文档中。Word 用户在审阅页面时通常不会看到这些文字。Copilot 仍可能接收到它们，因为文档处理会在向语言模型发送文本前剥离字体颜色和大小等格式信息。

这种差异至关重要。白底白字并不是一种新颖的隐藏方式，通过隐藏材料实施提示词注入也早已有充分记录。真正重要的变化在于 Copilot 读取载荷之后发生了什么。

根据 Måløy 的技术披露，隐藏提示词包含两项关联任务。一项任务指示 Copilot 修改起草内容；另一项则要求它在生成的文档中复现该提示词。

他的概念验证使用了一家虚构公司及其财务报告。据称，Copilot 在起草报告时将财务数据减半，随后以白色、八号字体附加恶意提示词。输出文件看起来像是一份内部制作的业务文档。

之后，一名同事可能将这份报告作为另一项 Copilot 任务的上下文。隐藏指令会再次触发，修改新报告，并将自身复制到该文件中。在第二阶段，已不再需要最初由攻击者控制的文档。

这正是“蠕虫”一词在此有用的原因，但需要加上一项重要限定。传统蠕虫会执行代码，并自动寻找新的机器或服务。这个演示则利用模型指令、文档复用和正常的人类工作流程来延续传播链。

因此，这种传播是有条件的。必须有人或某个自动化工作流将受感染文件放入 Copilot 的上下文。该研究并未表明每份 Word 文档都会自主感染附近的所有文件。

这一限制并不会消除风险。组织会持续复用报告、提案、政策、模板、会议摘要和市场分析。传播载体之所以能够移动，是因为员工信任其中的业务内容，而不是因为他们将其识别为可执行软件。

生成的文件还会获得机构层面的可信度。它可能带有内部作者信息、经批准的格式、熟悉的品牌标识，以及看似合理的存储位置。这些信号会鼓励人们复用它，即使该文档继承了来自外部来源的指令。

Simon Willison 的安全摘要清楚指出了这一升级。提示词注入不再只影响即时回复。模型的输出会成为另一项模型辅助任务的持久化输入。

这就是 microsoft simon 这一关键词背后的事件。Willison 让这一发现受到关注，Måløy 开展了研究，而 Microsoft 则拥有受影响的生产力环境。在评估证据时，将这些角色区分开来至关重要。

为什么 Microsoft Simon 搜索结果指向一场完整性危机

眼前的危险不仅是信息被窃取，更是人们用于决策的文档遭到悄然篡改。

提示词注入报道往往聚焦于机密性。攻击者将指令隐藏在外部内容中，助手遵从它们，受保护的信息便通过链接或工具调用泄露出去。这仍是严重威胁，但 Word 演示强调的是完整性。

信息完整性意味着记录应保持准确、可追溯，并能抵御未经授权的修改。Måløy 的示例针对财务数据，因为数值变化很容易说明。类似的操纵也可能影响合同条款、政策例外、预测、技术要求或研究摘要。

被修改的报告可以在语法上流畅、在内部逻辑上自洽。文档不必出现明显荒谬的内容也能造成伤害。细微且看似合理的修改可能更危险，因为审阅者不太会对此产生怀疑。

Måløy 指出，即便他知道该看哪里，一些实验性改动也很难察觉。他有时会要求 Copilot 高亮其修改内容，以便追踪结果。真正的攻击者没有理由提供这种帮助。

攻击者还可从距离中获益。一旦被污染的输出成为另一份报告的来源，调查人员就必须重建引用链。最初的恶意文件可能已不存在、被删除，或存放在调查差异问题的部门之外。

传统安全控制通常依据身份和位置分配信任。由员工在获批 Microsoft 365 租户内创建的文件，看起来比来自未知发件人的附件更安全。自我传播削弱了这一假设，因为内部文档可能继承外部指令。

攻击还可以通过日常协作跨越组织边界。公司会与供应商和客户交换提案、报告、法律草案和项目计划。一份受感染的内部文件，可能成为另一家组织的外部来源。

这给安全团队、记录管理人员、审计人员和业务负责人带来压力。他们不能仅将 AI 生成文本视为写作质量问题。他们需要能够证明哪些来源进入了文档，以及模型执行了哪些修改的证据。

Microsoft 当前的 Word 指引已提醒用户审阅 AI 输出，因为其中可能包含错误或不准确之处。其 Copilot 指引也表示，用户在依赖生成内容前应进行编辑和验证。

人工审阅仍然有价值，但并非完整的安全边界。审阅者可能检查可见论点，却不会检查隐藏文字、文档结构或来源谱系。细微改动也可能因为符合上下文叙事而得以保留。

组织应区分面向质量的审阅与面向恶意操纵的审阅。质量审阅关注行文是否清晰、事实是否可信。安全审阅则关注不可信内容是否影响行为、是否以不可见方式持续存在，或是否跨越授权边界。

随着助手开始承担编辑操作，这一区别变得更加紧迫。生成一次性摘要会限制持久性；编辑共享文档则可能改变一个随后进入审批、归档和下游 AI 系统的成果物。

对知识工作者而言，这挑战了关于个人与机构记忆的一项熟悉假设。当 AI 工作流反复将保存的文档作为上下文解读时，这些文档并非被动存在。一个被投毒的成果物可以在不改变底层模型的情况下影响未来输出。

因此，构建可检索知识库的团队应保留来源身份和审阅状态。检索便利性不应抹去受信任指令与不可信证据之间的差别。

隐藏提示词如何成为自我复制的传播载体

这一机制之所以奏效，是因为 Copilot 必须先解释文档内容，才能判断这些内容是否相关、安全或具有指令性。

间接提示词注入是指，将恶意指令放入 AI 系统代表用户读取的材料中。用户并未输入恶意命令，而是由文档、电子邮件、网页、工具响应或检索到的记忆提供这些指令。

Microsoft 将这一更广泛类别称为跨提示词注入攻击（cross-prompt injection attack，XPIA）。攻击从外部内容跨入助手的决策过程，试图让数据表现得像命令。

Word 演示正是从这一边界开始。用户要求 Copilot 使用多个附件起草财务报告。Copilot 必须读取这些附件以识别有用事实，即使其中一个附件包含隐藏指令。

模型在同一计算上下文中接收到受信任和不可信的语言。系统规则、用户请求、参考材料和先前消息可能带有标签或结构标记。然而，模型在预测回应时仍会将它们全部解释为 token。

Måløy 将基于模型的检测比作：要求解释器执行一个不可信程序，以判断该程序是否安全。这个类比并不完全准确，因为自然语言不是传统的可执行代码。但它揭示了该问题核心的循环依赖。

系统希望模型深入理解任意参考材料。较弱的过滤器可能无法识别改写、混淆、异常格式，或被包装在看似合理业务语言中的指令。用能力相近的模型作为过滤器，也可能面临提示词注入。

Microsoft 描述了多项防护措施，包括输入过滤、指令分离、接地边界和输出过滤。其提示词注入防御也将隐藏或不可见文字列为警示信号。

这些层级可以降低攻击成功率，但无法在内容与意图之间建立完整区分。Måløy 表示，Microsoft 阻止了他最初概念验证中的措辞。随后，他在保留传播机制的同时，修改了所要求的任务和措辞。

披露时间线显示了这一反复博弈。Måløy 于 3 月 6 日向 Microsoft 提交初始报告，Microsoft 于 3 月 9 日确认收到。Microsoft 于 3 月 31 日确认了所报告的行为。

首轮缓解措施于 4 月 3 日随新版 Edit with Copilot 体验上线。到 4 月 9 日，原先的措辞已不再有效。Måløy 表示，他当天使用一个涉及金融操纵的新提示任务复现了该行为。

微软随后在准备另一项缓解措施期间推迟了披露。Måløy 称，模型升级于 7 月 14 日上线。他在 7 月 15 日使用测试期间可用的最新模型复现了蠕虫传播，之后又将发布推迟了两周。

7 月 28 日，他报告称攻击仍可复现。他公布了漏洞类别，但未公开确切载荷。此举让防御人员能够审视工作流风险，同时不提供可直接复制的攻击提示。

这两阶段机制在这些版本变更中始终一致。首先，恶意指令影响当前的起草或编辑任务。其次，Copilot 将这些指令复制到输出中，形成持续存在的载体。

第二步使这一演示区别于大多数单会话注入。其持久性并不依赖模型记忆或被攻陷的账户，而是存在于人们能够存储、批准并重新分发的普通文件中。

微软的防护措施依然重要。提高成功注入所需的难度，可以减少暴露面并阻止已知措辞。纵深防御也能在某一层失效时限制损害。

然而，针对特定载荷的封堵会形成不利的维护循环。攻击者可以改变措辞、文档上下文和所请求的操作。防御者则必须覆盖广阔的语义空间，同时保留助手遵循合法指令的能力。

Copilot 的生产力承诺遭遇信任边界

让 Copilot 发挥价值的同一份文档访问权限，也为攻击者控制的文本提供了进入高信任度工作的路径。

微软将 Word 中的 Copilot 定位为起草、摘要、改写，以及将其他文档中的信息整合到新内容中的工具。这些功能需要广泛访问组织的工作资料。

2026 年 4 月，微软为法律、财务和合规专业人士推出了额外的 Word 功能。这些功能包括处理批注和修订，以支持注重细节的工作流。微软表示，对这些用户而言，文档完整性不容妥协。

蠕虫披露让这一承诺面临严峻现实。当 Copilot 能够读取大量来源并进行有意义的编辑时，高风险专业人士获益最大；而当隐藏指令操纵这些操作时，他们面临的后果也更为严重。

这是本文的核心矛盾：有用的上下文访问与可靠的指令控制。移除所有外部上下文会严重限制产品能力；将每一句有意义的文字都视作潜在命令，同样会损害正常的起草工作。

问题并不局限于微软。检索增强生成（RAG）会在模型作答前向其提供选定的外部信息。除非其来源和操作受到严格约束，任何 RAG 系统都可能让模型接触攻击者控制的材料。

2024 年的 Morris-II 论文展示了生成式 AI 邮件助手环境中的对抗性自复制提示。这些提示可通过已连接的应用程序传播，并在重复交互中支持数据窃取。

Måløy 的工作将这一概念带入主流组织使用的 Word 工作流。它以熟悉的文档起草和编辑取代实验性的邮件环境。攻击路径还利用了内部文件所承载的信任。

其他 AI 厂商也面临同样的架构性张力。Google Workspace 助手可基于共享内容总结并创建文档。Anthropic 和 OpenAI 的产品可以处理上传文件、检索到的记录和已连接应用程序的数据。

相关比较并非哪个模型会遵循某一种特定载荷。提示攻击具有概率性，其表现会随提示、模型版本、上下文和防护措施而变化。单次成功或失败无法建立持久的排名。

更好的问题在于系统设计。产品是否保留来源溯源信息、限制操作、公开模型变化，并阻止生成的输出悄然变成受信任的指令？管理员能否在出现可疑行为后调查这一链条？

微软表示，它使用多项防护措施来拦截恶意指令，并使任务与用户请求保持一致。它还建议客户安装更新、采用分层保护、不信任未知内容，并审查生成的输出。

Måløy 提出了更狭义的评估。他肯定微软已拦截所报告的载荷，并缓解了此前的记忆和电子邮件向量。不过，他仍表示，在发布时，客户侧没有任何措施能够完全应对文档传播这一类别。

这些说法并不互相矛盾。微软可以持续改善防御，而更广泛的漏洞仍然存在。安全控制往往能降低概率和影响，但无法消除整个攻击类别。

分歧在于客户应如何理解这种剩余风险。微软的表述强调持续防御。Måløy 的分析则认为，只要攻击者控制的内容到达嵌入式语言模型，组织就必须假定存在一定程度的妥协风险。

这一更强的主张尚未在所有 Copilot 配置中得到独立测试。公开报告记录的是特定条件下的概念验证，而非生产租户中的测量感染率。

Microsoft Simon 事件尚未证明什么

这一演示很严肃，但它并未证明存在自主的大规模感染，也未确认真实组织遭到利用。

Måløy 的报告展示了使用一家虚构公司进行的受控概念验证场景。它并未声称攻击者已对客户使用该方法。披露中也未附带公开的事件数量、受影响用户总数或测量成功率。

攻击还需要一个工作流触发条件。恶意文档必须进入 Copilot 的上下文，可能通过显式附件，也可能通过从 OneDrive 检索。随后，用户或自动化流程必须接受、保存或复用生成的文档。

Copilot 并不会简单地感染账户可访问的每一份 Word 文件。模型必须选择或接收该载体、遵循隐藏指令并正确复制它。每个阶段都带来不确定性。

研究人员在其环境中演示了直接附件和自动相关性选择两种方式。在后一种情况下，Copilot 在 OneDrive 中找到了恶意市场分析文档，尽管该文档与相关内部文件分开存放。

这一结果值得关注，因为自动检索降低了用户对来源的感知。不过，它并未说明 Copilot 会在不同租户、权限、主题或文档集合中以多高频率选中被植入的文档。

该载荷还使用了白色文字，这是一种可检测的隐藏技术。安全工具可以检查文档 XML、标记隐藏格式，或将文件转换为规范化文本进行审查。这些控制措施或许能捕获这一示例，但可能遗漏经过语义伪装的指令。

Måløy 有意未公开确切提示，限制了独立复现。这一决定降低了即时滥用的风险，但也意味着外部研究人员尚无法审计每一个细节。The Register 报道称，微软在收到完整材料后确认了该研究。

模型行为是另一项不确定来源。一个在某次测试中成功的提示，可能会在更新后或在另一种上下文中失败。反过来，某个载荷被拦截也不能证明整个类别已经关闭。

因此，对 microsoft simon 的描述应保持准确。证据支持 Copilot for Word 中一个通过文档传播、自我复制的提示演示。它并不支持存在广泛爆发或传统恶意软件流行的说法。

风险评估应将后果与频率一并考虑。当受影响的产物包括财务报告、合同、监管申报或安全程序时，即使成功率较低也仍然重要。反复的 AI 辅助复用可能创造许多触发机会。

企业应避免让员工单独承担检测责任的应对方式。要求用户检查每一个来源和输出，会把一个技术信任问题转移到仓促的审查流程中。

合理的控制措施包括：限制 Copilot 访问经批准的存储库、扫描上传文档中的隐藏材料，以及将外部来源与受信任模板隔离。组织还可以要求 AI 编辑的文件在进入关键工作流前经过人工批准。

文档溯源同样重要。系统应记录哪些来源对输出作出了贡献，以及 Copilot 提出了哪些修改。审阅者需要可见的证据，而不只是干净的最终文档。

安全团队应通过安全的内部演练测试自身配置。测试应改变附件来源、检索行为、文档类型、权限和下游复用方式。一个租户的结果不应被视为普遍结论。

事件响应计划也需要文档谱系策略。如果发现一个载体，调查人员必须识别派生文件、接收者、存储位置以及后续 Copilot 会话。删除最早已知的文件并不能移除下游副本。

三个信号将表明 Word 的 AI 蠕虫是否已被遏制

接下来的检验在于：微软能否将传播作为一个类别加以阻止、提供可靠的谱系信息，并经受独立复现的考验。

第一个信号是微软提供一项针对输出传播、而非另一种已知载荷的缓解措施。有意义的更新应能阻止 Copilot 将不受信任的指令悄然复制到生成的文档中。它应适用于改写和任务变化。

如果独立测试显示载体链被打断，这类控制将增强信心。另一项仅针对措辞的封堵即便能阻止微软收到的提示，也会削弱这一结论。

第二个信号是 Word 和 Microsoft 365 中更好的溯源能力。用户需要一份持久记录，将生成的文本与其参考文档关联起来。他们还需要对模型执行的编辑进行可见追踪，包括被接受并写入最终文件的修改。

溯源并不能阻止每一次注入，但它会降低让所演示蠕虫难以追踪的隐蔽性。它还可以帮助安全团队在发现一份受影响文件后定位相关文档。

第三个信号是对当前 Copilot 配置开展独立测试。研究人员应检查显式附件、OneDrive 检索、Edit with Copilot 以及其他文档创建工作流。他们应报告条件和成功率，但不应过早公开可操作的载荷。

独立复现失败会削弱最广泛的主张，但不会消除架构问题。若在又一次缓解措施之后仍能可靠复现，则表明这一类别并未局限于一名研究人员的环境。

目前，只要 Copilot 处理外部来源的文件，组织就应将其视为不受信任的数据。对于来源历史不明的内部生成文档，也应采取同样的谨慎态度。

实际问题已不再是隐藏文字能否欺骗某一次聊天机器人回复，而是 AI 创建的产物是否能够将恶意意图带入下一个受信任工作流。microsoft simon 事件表明，在已演示的条件下它们可以做到这一点；而微软表示，分层防护仍在持续改进。

使用 Copilot 处理重要工作、并准备复用任何生成文件的读者，应先立即问一个问题：我们能否识别其中的每一个来源、每一处由 AI 做出的修改，以及每一条隐藏指令？如果答案是否定的，那么该文档还不足以可信到成为他人的上下文。