Imagine abrir um documento do Word enviado por um colega de trabalho, pedir ao Copilot para gerar um resumo, e sem perceber, acabar de infectar todos os documentos que você criar dali em diante. Parece ficção científica, mas é exatamente o que um pesquisador de segurança demonstrou essa semana.

Håkon Måløy, pesquisador norueguês, publicou na segunda-feira (28 de julho) os detalhes de uma vulnerabilidade que persegue o Microsoft 365 Copilot há quase cinco meses. O ataque explora prompt injection escondida em documentos do Word para criar um worm digital que se propaga autonomamente, saltando de documento em documento sem intervenção humana. A Microsoft foi notificada em março de 2026, corrigiu alguns vetores específicos, mas a classe de vulnerabilidade como um todo continua sem solução.

Como funciona o ataque (e por que é tão perigoso)

A mecânica é elegante na sua simplicidade. O atacante embute instruções maliciosas dentro de um documento do Word usando texto branco sobre fundo branco, em fonte minúscula. Pra você, humano, o documento parece normal. Mas o Copilot, que processa o texto puro sem formatação visual, lê cada caractere.

Quando a vítima usa o Copilot para redigir, resumir ou editar algo a partir desse documento contaminado, duas coisas acontecem simultaneamente:

1. O Copilot executa a instrução maliciosa (por exemplo, alterar silenciosamente todos os números financeiros de um relatório pela metade)
2. O Copilot copia a instrução escondida para o novo documento gerado

Esse segundo ponto é o que transforma o ataque em um worm. O documento recém-criado agora carrega o mesmo payload malicioso. Quando outro colega abre esse documento e usa o Copilot, o ciclo se repete. Sem cliques extras, sem macros, sem alertas de segurança.

Documento infectado (texto branco, invisível ao humano)
    ↓
Vítima pede ao Copilot: "Resuma este relatório"
    ↓
Copilot lê o texto oculto → executa payload + copia instrução
    ↓
Novo documento gerado já está infectado
    ↓
Próxima vítima usa Copilot → ciclo se repete

Cross-Domain Prompt Injection: o nome técnico do problema

A técnica se chama XPIA (Cross-Domain Prompt Injection Attack). O conceito não é novo. Pesquisadores vêm alertando sobre prompt injection desde 2023, quando LLMs começaram a ser integrados a ferramentas de produtividade. A diferença aqui é que Måløy demonstrou pela primeira vez que a injeção pode se autopropagar, transformando um ataque pontual em um worm autossuficiente.

O Copilot do Word funciona assim: quando você pede para ele redigir algo, ele recebe como contexto o conteúdo dos documentos referenciados. Ele não “vê” formatação, cores ou tamanhos de fonte. Ele recebe texto puro. Então as instruções em branco no documento são tão visíveis pro modelo quanto qualquer outro parágrafo.

A pesquisa mostrou que esse padrão persiste mesmo após a Microsoft ter atualizado o backend do Copilot para usar GPT-5.5 e GPT-5.6. As mitigações implementadas bloquearam payloads específicos, mas não a classe de ataque. É como tapar buracos individuais num muro de peneira.

A prova de conceito: relatórios financeiros adulterados

No cenário demonstrado por Måløy, um relatório financeiro contaminado fazia o Copilot reduzir todos os valores numéricos pela metade. Imagine isso em um contexto corporativo real: uma proposta comercial com valores errados, uma análise de custos que parece legítima mas está completamente distorcida, um balanço trimestral que ninguém questiona porque “o Copilot gerou direitinho”.

O mais assustador: o documento resultante parece impecável. Não tem macros, não dispara alertas do antivírus, não pede permissões especiais. É um .docx normal. A arma está escondida em texto invisível que só o LLM enxerga.

Esse não é um problema isolado

O trabalho de Måløy faz parte de uma série chamada “Context Collapse”, e a descoberta no Copilot for Word é a terceira parte. Mas o cenário macro é ainda mais preocupante.

Em março de 2026, pesquisadores da Universidade de Toronto publicaram o paper do ClawWorm, o primeiro worm autopropagante contra frameworks de agentes de IA em escala de produção. O ClawWorm demonstrou:

O ataque do ClawWorm funciona em três fases: primeiro sequestra a configuração do agente vítima para persistir entre reinicializações, depois executa um payload arbitrário a cada reboot, e finalmente se propaga para cada novo peer que o agente encontra. Tudo a partir de uma única mensagem inicial.

Em junho de 2026, outro grupo publicou pesquisa sobre worms adaptativos que usam LLMs locais para explorar vulnerabilidades divulgadas após o cutoff de treinamento do modelo. O worm literalmente lê advisories de segurança publicados online e gera exploits em tempo real.

Bruce Schneier, um dos maiores nomes em criptografia e segurança, comentou que esses worms de IA são “o mais próximo da concepção original de John Brunner para worms de computador que eu já vi”, referindo-se ao romance de ficção científica “The Shockwave Rider” de 1975. A diferença é que esses worms não precisam de um servidor central de comando: operam de forma totalmente descentralizada.

O que isso significa pra quem usa Microsoft 365

Se você trabalha em uma empresa que adotou o Copilot (e a Microsoft está empurrando isso agressivamente), aqui vai a realidade:

Seus documentos internos são vetores de ataque. Não importa se vieram de um colega de confiança. Se alguém na cadeia recebeu um documento contaminado de fora e usou o Copilot, a infecção pode ter se espalhado silenciosamente.

Não existe patch robusto. A Microsoft fechou payloads específicos encontrados pelo pesquisador, mas a vulnerabilidade estrutural persiste. O problema é arquitetural: enquanto o Copilot processar texto sem distinguir instruções do usuário de conteúdo do documento, injeções de prompt vão funcionar.

O OWASP já classificou isso. O OWASP Top 10 para Aplicações Agênticas coloca Agent Goal Hijacking (ASI01) como o risco número um. Não é mais uma preocupação acadêmica.

Recomendações práticas

O elefante na sala: a corrida por features vs. segurança

A Microsoft, o Google e a OpenAI estão em uma corrida frenética para integrar LLMs em absolutamente tudo. Word, Excel, Gmail, Sheets, Slack, Notion. Cada integração nova é uma superfície de ataque nova.

O padrão se repete: primeiro a feature é lançada, depois alguém descobre que dá pra abusar, depois a empresa corre pra tapar o buraco. Só que com prompt injection, não existe “tapar o buraco” de verdade. O problema é fundamental à arquitetura dos LLMs atuais: eles não conseguem distinguir de forma confiável entre “instruções do usuário” e “conteúdo sendo processado”.

Pesquisadores vêm propondo soluções como sandboxing de contexto, marcação de trust boundaries entre diferentes fontes de input, e modelos treinados para rejeitar instruções embutidas em conteúdo. Mas nenhuma dessas soluções foi implementada em produção de forma robusta.

Enquanto isso, empresas ao redor do mundo estão mandando seus funcionários colocarem documentos confidenciais no Copilot “pra ganhar produtividade”. A ironia é brutal.

A timeline da divulgação

Måløy seguiu o protocolo de responsible disclosure certinho:

• 6 de março de 2026: Vulnerabilidade reportada à Microsoft
• Março a julho: Microsoft implementa mitigações para payloads específicos
• 28 de julho de 2026: Publicação após 144 dias, com a classe de vulnerabilidade ainda aberta

São quase 5 meses de coordenação, e a conclusão do pesquisador é direta: “nenhuma mitigação robusta para a classe de vulnerabilidade mais ampla está disponível.” Isso não é um bug que se resolve com um hotfix. É uma limitação de design.

Protegendo seu ambiente hoje

Pra quem administra ambientes Microsoft 365, algumas ações concretas:

# Verificar políticas de DLP no Microsoft 365
# PowerShell - módulo Exchange Online
Connect-ExchangeOnline
Get-DlpCompliancePolicy | Format-Table Name, Mode, Enabled

# Criar regra para detectar texto oculto em documentos
New-DlpComplianceRule -Name "Detect Hidden Text" \
  -Policy "Document Security" \
  -ContentContainsSensitiveInformation @{
    Name = "Hidden Font Content"
    MinCount = 1
  }

Além disso, configurar Conditional Access para restringir o uso do Copilot em documentos que venham de domínios externos é uma medida que muitas empresas estão adotando, mesmo sem guidance oficial da Microsoft.

“No robust mitigation for the broader vulnerability class is available.”

Håkon Måløy, pesquisador de segurança

Essa frase deveria estar impressa no monitor de todo CISO que autorizou a implementação do Copilot sem avaliar o risco de prompt injection.

O que vem pela frente

A tendência é clara: quanto mais agentes de IA forem integrados a ferramentas do dia a dia, mais vetores de ataque vão surgir. Os worms de IA não são mais teoria acadêmica. Eles estão funcionando em provas de conceito contra ferramentas que milhões de pessoas usam no trabalho, todos os dias.

A pergunta não é mais “isso pode acontecer?”. É: quantas empresas já foram afetadas sem saber?

Fonte de inspiração: Context Collapse Part III: AI Worming Through Word (Håkon Måløy, 2026)