Vermes de IA incorporados em documentos podem se autopropagar pelo Copilot no Word
Uma divulgação coordenada de vulnerabilidade mostra como prompts escritos por atacantes e ocultos dentro de documentos do Word podem sequestrar o Microsoft Copilot, alterar silenciosamente o conteúdo (por exemplo, números financeiros) e se propagar como “vermes de IA” para documentos recém-gerados. Comentadores conectam isso ao problema mais amplo e ainda sem solução de que os modelos de linguagem atuais não conseguem distinguir de forma confiável instruções de dados, tornando-os inerentemente vulneráveis a ataques do tipo prompt injection apesar das mitigações parciais. A discussão se amplia para preocupações com a incorporação profunda desses agentes em suítes de escritório e sistemas operacionais, argumentando que, sem salvaguardas arquiteturais e processuais mais fortes, organizações correm risco de adulteração documental em larga escala e difícil detecção.
Vulnerabilidade e Comportamento
- A thread concorda que o problema do Word/Copilot é uma classe real de vulnerabilidade: prompts incorporados em documentos podem sequestrar edições, alterar conteúdo (por exemplo, números) e injetar payloads ocultos que se propagam para novos documentos.
- Vários observam que a Microsoft adicionou mitigação parcial, mas os participantes insistem repetidamente que o problema geral — LLMs executando instruções fornecidas por atacantes em contexto — permanece sem समाधान.
Debate sobre Instruções vs Dados
- Muitos enquadram isso como a antiga lição de “nunca misture código e dados” voltando na forma de IA (injeção SQL, vírus de macro, sinalização em banda).
- Outros argumentam que “código vs dados” é uma separação artificial, dependente do contexto; sistemas gerais e a cognição humana não respeitam isso de verdade.
- Um contraponto forte: para aplicações construídas sobre LLMs, é preciso impor separação no nível do sistema ou abandonar a abordagem para tarefas críticas.
Texto Oculto e Tratamento de Documentos
- Há discussão sobre como o conteúdo “oculto” aparece: texto branco sobre branco, fontes minúsculas, texto fora da página, coberto por imagens, cabeçalhos/rodapés/comentários, até metadados.
- Alguns propõem renderização em imagem e verificações de visibilidade, ou remover/marcar texto de baixa visibilidade antes de enviar ao modelo. Outros observam que isso é complexo, caro e ainda pode ser contornado.
Comparações com Vermes e Vírus do Passado
- Muitos comparam isso aos vermes de macros/VBScript dos anos 1990–2000, mas com um diferencial: o payload do verme pode “improvisar” e potencialmente evoluir conforme diferentes LLMs o copiam de forma imperfeita.
- Vermes de IA acadêmicos anteriores são mencionados; isso é visto como um dos primeiros em software de produtividade mainstream.
Mitigações e Design de Sistema
- Defesas sugeridas: não alimentar conteúdo de documentos não confiáveis em agentes; tratar LLMs como operadores humanos não confiáveis; isolar ferramentas; exigir aprovação humana explícita para ações poderosas; evitar agentes locais no nível do sistema operacional.
- Outros apontam designs de multiagentes ou “firewall” com classificadores, mas observam que eles continuam frágeis e fáceis de contornar.
Analogias Humanas e Percepção de Risco
- Um grupo diz que prompt injection é, em essência, como engenharia social contra humanos; você limita o raio de impacto em vez de buscar imunidade perfeita.
- Outro grupo argumenta que LLMs são vulneráveis de forma única (payloads opacos, escala, ausência de responsabilização) e muito mais fáceis de explorar do que humanos.
Reações Mais Amplas
- O tom varia de alarmado (“LLMs como crianças imprudentes com acesso a bash”) a um cinismo resignado sobre incentivos corporativos e apatia dos usuários.
- Alguns esperam que danos visíveis forcem organizações a limitar ou banir agentes de IA profundamente embutidos; outros duvidam que isso aconteça tão cedo.