Una nuova ricerca di sicurezza mette sotto accusa Microsoft Copilot per Word, che può trasformare un semplice documento Word in un vettore di attacco capace di diffondersi silenziosamente tra file e utenti, sfruttando il normale utilizzo dell’assistente basato su IA. A portare alla luce il problema è stato Håkon Måløy, data scientist norvegese con un dottorato in intelligenza artificiale e machine learning applicato, che ha documentato pubblicamente una nuova categoria di vulnerabilità. Per motivi di sicurezza il ricercatore ha scelto di non divulgare il payload utilizzato nell’attacco, limitandosi a descrivere il funzionamento generale della tecnica. Secondo Måløy, rilasciare maggiori dettagli sarebbe irresponsabile finché non esisterà una mitigazione realmente efficace.

L’aspetto più preoccupante della scoperta riguarda la capacità del malware di propagarsi sfruttando esclusivamente il comportamento di Copilot. L’attacco non richiede macro, codice eseguibile o exploit tradizionali, ma è sufficiente un documento Word contenente istruzioni nascoste che il modello linguistico interpreta erroneamente come comandi anziché come semplice contenuto testuale.

Il meccanismo immaginato dal ricercatore è tanto semplice quanto plausibile. Un dipendente scarica un documento da una fonte ritenuta affidabile, magari un report di mercato utile alla preparazione di una relazione finanziaria. Il file, però, contiene testo invisibile inserito deliberatamente dall’attaccante e quando il documento viene fornito a Copilot come materiale di riferimento, il modello interpreta quelle istruzioni occulte e modifica il contenuto prodotto, alterando ad esempio dati economici o risultati di analisi.

Il problema non si limita però alla manipolazione delle informazioni. Le stesse istruzioni malevole vengono infatti copiate automaticamente nel nuovo documento generato da Copilot. Se quel file viene successivamente riutilizzato da un altro collega come base di lavoro, l’intero processo si ripete, dando origine a una propagazione autonoma che ricorda il comportamento dei worm informatici tradizionali, ma adattato all’era dell’IA generativa.

Secondo Måløy, questa potrebbe rappresentare una delle prime dimostrazioni pubbliche di un worm basato esclusivamente sul contesto elaborato da un modello linguistico all’interno di una suite di produttività commerciale ampiamente diffusa. Una caratteristica che rende l’attacco particolarmente difficile da individuare è la totale assenza di comportamenti anomali evidenti, visto che agli occhi dell’utente Copilot continua semplicemente a generare documenti apparentemente normali.

Un ulteriore elemento di criticità è rappresentato dal fatto che l’aggressore non deve compromettere l’infrastruttura Microsoft 365 dell’azienda bersaglio. Non serve ottenere credenziali, accedere agli account degli utenti o violare il tenant aziendale. È sufficiente convincere una vittima ad aprire e utilizzare un documento preparato ad arte. Da quel momento sarà il flusso di lavoro stesso, insieme all’assistente AI, a contribuire involontariamente alla diffusione dell’attacco.

Copilot Word

Crediti: Shutterstock

Il ricercatore afferma di collaborare con Microsoft dal marzo 2026 per affrontare il problema. Durante questo periodo l’azienda ha corretto lo specifico proof of concept inizialmente presentato, ma secondo i test successivi la vulnerabilità di fondo sarebbe rimasta irrisolta. Modificando la formulazione del prompt nascosto, Måløy sarebbe riuscito nuovamente a ottenere la propagazione del worm e persino l’alterazione dei dati contenuti nei documenti.

La divulgazione pubblica è arrivata soltanto dopo quasi cinque mesi di coordinamento con Microsoft e diversi rinvii concordati tra le parti. Nel suo rapporto il ricercatore sostiene che i tentativi di mitigazione implementati finora, compreso un aggiornamento del modello linguistico, non abbiano eliminato la classe di vulnerabilità, ma soltanto alcune specifiche varianti dell’attacco.

Dal punto di vista tecnico, Måløy ritiene inoltre che il problema sia molto più profondo di un semplice bug software. La vulnerabilità rientrerebbe infatti nella categoria delle cosiddette cross-domain prompt injection, attacchi che sfruttano la difficoltà dei modelli linguistici nel distinguere tra dati da elaborare e istruzioni da eseguire. In altre parole, il modello dovrebbe utilizzare il contenuto del documento come fonte di informazioni, senza considerare eventuali istruzioni presenti al suo interno come nuovi prompt. Secondo la ricerca, però, questa separazione non è sempre garantita.

Il limite, spiega il ricercatore, deriva dall’architettura stessa dei moderni Large Language Model. Un assistente AI deve necessariamente leggere documenti, email, pagine web e altri contenuti potenzialmente controllati da soggetti esterni. Tuttavia, se il modello deve analizzare un testo per capire se sia malevolo, quel contenuto potrebbe già influenzarne il processo decisionale. È un paradosso che rende estremamente complessa la costruzione di difese realmente affidabili.

L’idea di utilizzare un secondo modello AI per controllare il primo, secondo Måløy, non risolverebbe il problema ma lo sposterebbe semplicemente a un livello successivo, creando una catena teoricamente infinita di modelli incaricati di verificarsi reciprocamente.

Microsoft ha confermato di aver collaborato con il ricercatore durante il processo di responsible disclosure e sostiene di aver introdotto ulteriori misure di protezione basate su una strategia multilivello. Allo stesso tempo invita gli utenti a installare gli aggiornamenti più recenti, adottare più livelli di sicurezza, trattare con particolare cautela i documenti provenienti da fonti sconosciute e verificare sempre il contenuto generato dall’intelligenza artificiale prima di condividerlo o utilizzarlo in ambito professionale.

Proprio quest’ultimo aspetto evidenzia una contraddizione destinata a far discutere. Se ogni documento utilizzato da Copilot deve essere controllato manualmente prima dell’elaborazione e ogni risultato prodotto dall’intelligenza artificiale necessita di una revisione completa prima della distribuzione, parte del vantaggio in termini di produttività rischia inevitabilmente di ridursi, soprattutto nei contesti aziendali dove l’automazione documentale rappresenta uno dei principali motivi di adozione degli assistenti basati sull’intelligenza artificiale.

(Immagine in apertura: Shutterstock)