Um documento com texto branco em fundo branco pode hackear toda a sua empresa

Parece piada, mas não é. Um pesquisador norueguês acabou de provar que o Copilot for Word, aquele assistente de IA que a Microsoft vende como produtividade do futuro, pode ser transformado numa máquina de propagar malware. O melhor (ou pior): você não precisa clicar em nada. Basta abrir um documento infectado no Word e pedir ao Copilot para te ajudar a escrever.

Håkon Måløy, cientista de dados com PhD em IA aplicada, passou 144 dias em disclosure coordenado com a Microsoft antes de publicar os detalhes. Duas tentativas de mitigação da Microsoft. Uma troca de modelo (de GPT-5.5 para GPT-5.6). E o bug continua lá, explorável, enquanto você lê isso.

O que é um worm de IA, exatamente?

Se você viveu a era dos vírus de e-mail tipo ILOVEYOU ou Melissa, já conhece o conceito de worm: um programa que se replica sozinho, saltando de máquina em máquina sem precisar que o usuário faça nada de especial. A diferença aqui é que o “programa” não é um executável. É um prompt.

O worm de IA funciona assim: instruções maliciosas escondidas dentro de um documento manipulam o comportamento do modelo de linguagem. Quando o Copilot processa esse documento, ele executa as instruções ocultas E copia essas mesmas instruções para qualquer novo documento que gerar. O documento gerado vira um novo vetor de ataque. Seus colegas usam esse documento como referência no Copilot deles, e a infecção se propaga.

Måløy descreveu isso como “uma das primeiras demonstrações públicas de auto-propagação de worm de IA via documentos em workflows normais de um pacote de produtividade comercial mainstream”.

Como o ataque funciona na prática

A mecânica é engenhosamente simples. Vamos ao passo a passo:

1. O documento armadilha

O atacante cria um documento Word com instruções maliciosas formatadas em texto branco sobre fundo branco. Para o humano que abre o arquivo, o documento parece normal. Pode ser um relatório financeiro, um briefing de projeto, qualquer coisa. As instruções estão lá, invisíveis a olho nu.

2. O Copilot lê tudo (literalmente)

Quando alguém anexa esse documento como referência no Copilot for Word para gerar um novo texto, o modelo recebe o conteúdo completo. E aqui está o problema arquitetural: o Copilot “remove toda formatação de texto como cor e tamanho de fonte” antes de processar. Ou seja, aquele texto branco em fundo branco? Para a IA, ele é tão legível quanto o título em negrito.

3. Execução e propagação

As instruções ocultas podem fazer duas coisas simultaneamente:

• Alterar o conteúdo gerado: mudar números em relatórios financeiros, inserir informações falsas, manipular conclusões
• Copiar a si mesmas: embutir as mesmas instruções maliciosas no documento de saída, garantindo que ele se torne um novo portador

4. O ciclo continua sozinho

A partir daqui, o worm anda sozinho. Måløy explica: “O ataque pode continuar sem envolvimento adicional do site comprometido original ou do documento malicioso original”. O colega que recebeu o documento infectado vai usá-lo como base para outro relatório, que vai infectar outro, que vai infectar outro.

Documento infectado (texto branco, invisível ao humano)
    ↓
Vítima pede ao Copilot: "Resuma este relatório"
    ↓
Copilot lê o texto oculto → executa payload + copia instrução
    ↓
Novo documento gerado já está infectado
    ↓
Próxima vítima usa Copilot → ciclo se repete

Por que a Microsoft não consegue corrigir

Essa é a parte que deveria tirar o sono de qualquer CISO. Måløy identifica o problema como uma falha arquitetural, não um bug pontual.

O Copilot é, no fundo, um LLM processando texto. Ele não tem como distinguir de forma confiável entre “instruções do usuário” e “conteúdo do documento”. Isso é o que os pesquisadores chamam de cross-domain prompt injection: dados não confiáveis (o documento) são processados no mesmo canal que instruções confiáveis (o prompt do usuário).

Detectar esse tipo de ataque exigiria que o modelo analisasse o conteúdo potencialmente malicioso para determinar se ele é seguro. Como Måløy coloca: é “pedir a um interpretador que execute um programa não confiável para determinar se esse programa é seguro”. Um paradoxo clássico de segurança.

A Microsoft respondeu com a frase genérica de sempre: “Estamos continuamente fortalecendo essas salvaguardas à medida que a tecnologia e o cenário de ameaças evoluem”. Tradução: não temos solução.

Os 144 dias que a Microsoft teve (e não resolveu)

144 dias. Duas tentativas. Zero correções efetivas. E o pesquisador ainda foi generoso: ele não publicou o payload específico do prompt, argumentando que “seria irresponsável divulgar além da classe da vulnerabilidade” porque nenhuma mitigação robusta existe.

Isso não é teoria: worms de IA já existem desde 2024

Se você acha que isso é exagero acadêmico, vale lembrar que em 2024 pesquisadores da Cornell Tech e do Technion criaram o Morris II, um worm de prompt injection auto-replicante que infectou assistentes de IA por e-mail. O worm conseguiu sequestrar assistentes de IA para vazar dados e se auto-encaminhar para novas vítimas, funcionando contra três modelos diferentes: ChatGPT, Gemini e LLaVA.

A diferença do que Måløy demonstrou é o contexto: não estamos falando de um protótipo de pesquisa. Estamos falando do Microsoft 365, usado por mais de 400 milhões de pessoas. O vetor não é um e-mail suspeito, é um documento Word. O ataque não pede que você clique em nada. Ele se propaga pelo uso normal da ferramenta.

Os cenários de ataque que preocupam

Pense por um segundo no que um atacante pode fazer com isso:

Espionagem corporativa silenciosa: um documento contaminado pode instruir o Copilot a inserir trechos de conteúdo confidencial de outros documentos no contexto da sessão, que depois são exfiltrados quando o documento gerado é compartilhado externamente.

Manipulação financeira: alterar números em relatórios financeiros automaticamente. O CFO pede ao Copilot para resumir os dados de vendas usando aquela planilha do Q2 como referência, e os números saem 15% maiores. Quem vai conferir? “Foi o Copilot que gerou”.

Desinformação interna: injetar conclusões falsas em documentos estratégicos. “Baseado nos dados, recomendamos cancelar o projeto X” quando os dados diziam o oposto.

Supply chain de documentos: em empresas grandes, documentos de referência passam por dezenas de mãos. Um único documento base infectado pode comprometer semanas de trabalho de múltiplos departamentos.

A defesa mais promissora: tratar como epidemia

A pesquisa de defesa mais interessante vem do framework Trentina, que trata o problema como saúde pública. Em vez de tentar bloquear 100% dos ataques (impossível com a arquitetura atual), o objetivo é reduzir a taxa de reprodução do worm para menos de 1:1. Se cada documento infectado infectar menos de um novo documento em média, o worm morre naturalmente. Igual ao R0 de um vírus biológico.

A abordagem usa três camadas:

1. Sanitização estrutural: remoção de encoding, delimitadores e formatação suspeita antes do texto chegar ao modelo
2. Classificação rápida: modelos leves como o Llama Prompt Guard 2 da Meta analisam o input buscando padrões de prompt injection
3. Reasoning isolado: uma camada de IA separada, sem acesso a ferramentas, que avalia se o conteúdo parece conter instruções embutidas

Nenhuma dessas defesas é perfeita sozinha, mas combinadas podem reduzir a taxa de propagação abaixo do limiar crítico.

O que você pode (e não pode) fazer hoje

Måløy é direto: não existe remediação completa do lado do cliente. Mas algumas práticas reduzem o risco:

Trate documentos externos como não confiáveis. Antes de anexar qualquer documento como referência no Copilot, questione a origem. Veio de fora da empresa? De um fornecedor? De um e-mail? Trate com a mesma desconfiança que você (deveria) tratar um link em e-mail.

Revise tudo que o Copilot gerar. Parece óbvio, mas quantas pessoas realmente leem com atenção o que o Copilot escreve antes de mandar pra frente? Se você está usando IA para não precisar ler, alguém pode estar usando IA contra você.

Verifique texto oculto nos documentos. Selecione todo o texto (Ctrl+A) e mude a cor da fonte para preto. Se aparecer conteúdo que não estava visível, você tem um problema.

Configure políticas de DLP. Para administradores de Microsoft 365, criar regras que detectem texto oculto em documentos é uma medida prática:

# Verificar políticas de DLP existentes
Connect-ExchangeOnline
Get-DlpCompliancePolicy | Format-Table Name, Mode, Enabled

# Criar política que escaneia documentos por texto oculto
New-DlpCompliancePolicy -Name "Hidden Text Detection" `
  -ExchangeLocation All `
  -SharePointLocation All `
  -Mode Enable

O problema é maior que a Microsoft

Essa vulnerabilidade expõe um problema estrutural de toda a indústria de IA. Qualquer sistema que processa dados não confiáveis no mesmo pipeline que instruções confiáveis está suscetível. O Copilot for Word é o caso mais visível porque é o mais usado, mas a mesma classe de ataque pode afetar Google Docs com Gemini, Notion AI, e qualquer ferramenta que aceite documentos como contexto para geração.

Eu já vi gerente sênior mandando relatório pro board dizendo “o Copilot gerou, validei por cima”. Se um worm tivesse alterado os números daquele relatório, ninguém teria percebido até o próximo quarter.

A adoção massiva de IA em produtividade criou uma superfície de ataque que ninguém mapeou direito. Estamos correndo para integrar LLMs em tudo, de e-mail a planilha, e a segurança está dois passos atrás. Enquanto a Microsoft busca uma solução que, pela natureza do problema, pode nunca ser perfeita, a melhor defesa continua sendo a mais antiga: não confie cegamente no que qualquer ferramenta produz. Principalmente quando essa ferramenta processa texto que você não consegue ver.

Fonte de inspiração: Context Collapse, Part 3: AI Worming through Word, por Håkon Måløy

Fonte de inspiração: Context Collapse, Part 3: AI Worming through Word, por Håkon Måløy