AI Worm in Copilot: una nuova minaccia informatica

Reading Time: 4 minutes

Alla fine di luglio 2026, il ricercatore in sicurezza Håkon Måløy ha pubblicato i risultati di una ricerca che dimostra l’esistenza di un AI Worm capace di propagarsi attraverso documenti Microsoft Word utilizzati insieme a Copilot. La scoperta ha rapidamente attirato l’attenzione della comunità di cybersecurity poiché non sfrutta un macro, un eseguibile o una vulnerabilità classica, ma il modo in cui i modelli AI elaborano il contesto ricevuto.

Che cos’è un AI Worm?

Un AI Worm rappresenta un’istruzione malevola nascosta in un documento, formulata in modo tale da essere interpretata da un assistente AI come un comando legittimo.

Rispetto ai worm informatici tradizionali, questo tipo di attacco:

• non esegue codice sul computer;
• non richiede macro;
• non installa malware;
• sfrutta esclusivamente il modo in cui un modello AI (LLM) interpreta il contesto di un documento.

In altre parole, “l’infezione” non avviene a livello di sistema operativo, ma a livello delle informazioni elaborate dall’AI.

Come funziona l’attacco su Microsoft Copilot?

Secondo la dimostrazione pubblicata da Håkon Måløy, l’attaccante introduce istruzioni nascoste in un documento Word. Queste istruzioni possono essere mascherate usando testo molto piccolo, colore identico a quello dello sfondo o altri metodi che le rendono invisibili per l’utente.

Quando il documento viene utilizzato come fonte per Microsoft Copilot:

1. Copilot legge l’intero contenuto del documento.
2. Le istruzioni nascoste vengono interpretate come parte del contesto.
3. Il modello AI può modificare il risultato generato in base ai comandi dell’attaccante.
4. Più grave, può copiare le stesse istruzioni nel nuovo documento creato.
5. Il nuovo documento diventa a sua volta portatore dell’attacco e può infettare altri flussi di lavoro basati su Copilot.

Praticamente, si verifica un meccanismo di auto-propagazione, simile al concetto di un worm classico, ma senza esecuzione di codice.

Perché questa vulnerabilità è diversa?

La maggior parte degli attacchi informatici mira a compromettere un sistema informatico.

In questo caso, l’obiettivo è il processo decisionale dell’intelligenza artificiale.

L’attacco sfrutta un fenomeno noto nella sicurezza AI come Prompt Injection, dove istruzioni controllate dall’attaccante vengono confuse con i comandi legittimi dell’utente.

Invece di compromettere il computer, l’attaccante compromette le risposte generate dall’AI.

Questa differenza è essenziale poiché le soluzioni antivirus classiche non sono progettate per rilevare tali minacce.

Cosa significa “Context Collapse”?

Nella serie di articoli “Context Collapse”, Håkon Måløy spiega che i modelli LLM non distinguono fondamentalmente tra:

• le istruzioni dell’utente;
• il contenuto del documento;
• il testo inserito da un attaccante.

Tutti questi elementi arrivano nella stessa finestra di contesto e vengono elaborati insieme.

Questa limitazione architettonica fa sì che un documento apparentemente benigno possa influenzare il comportamento dell’AI senza che l’utente noti qualcosa di insolito.

Quali rischi presenta il nuovo AI Worm per le organizzazioni?

Nell’ambiente enterprise, Copilot è frequentemente utilizzato per:

• rapporti finanziari;
• documentazione tecnica;
• contratti;
• politiche interne;
• analisi di business;
• riassunto dei documenti esterni.

Se uno dei documenti utilizzati come fonte contiene istruzioni nascoste, queste possono influenzare tutti i documenti generati successivamente.

Tra i rischi identificati ci sono:

• modifica discreta delle informazioni;
• alterazione dei rapporti finanziari;
• inserimento di contenuti falsi;
• propagazione automatica delle istruzioni verso altri documenti;
• compromissione della catena di fiducia tra utenti e sistemi AI.

Quali misure di mitigazione ha adottato Microsoft?

La ricerca mostra che la vulnerabilità è stata segnalata responsabilmente a Microsoft con diversi mesi di anticipo rispetto alla pubblicazione.

Secondo l’autore, Microsoft ha implementato due turni di misure di mitigazione, ma la dimostrazione pubblicata sostiene che queste possono essere aggirate riformulando le istruzioni malevole. Il ricercatore sostiene che il problema è architettonico, legato al modo in cui i modelli LLM trattano il contesto, e non può essere completamente eliminato tramite semplici filtri applicati a livello di applicazione.

Come possono proteggersi le aziende?

Sebbene non esista ancora una soluzione perfetta, gli esperti raccomandano diverse misure preventive:

• trattare i documenti esterni come fonti potenzialmente inaffidabili;
• limitare l’uso di documenti sconosciuti come input per Copilot;
• verificare i risultati generati dall’AI prima della distribuzione;
• implementare politiche di AI Security e AI Governance;
• formare i dipendenti sui rischi di Prompt Injection;
• monitorare i documenti che circolano tra team e sistemi AI.

In pratica, i documenti utilizzati come fonte per assistenti AI dovrebbero essere trattati con lo stesso livello di precauzione riservato agli allegati e-mail o ai file scaricati da fonti esterne.

Perché questo caso è importante per il futuro della sicurezza AI?

La scoperta non dimostra solo una vulnerabilità puntuale in Microsoft Copilot per Word.

Essa evidenzia una sfida molto più ampia: i modelli di intelligenza artificiale non hanno, intrinsecamente, la capacità di differenziare tra contenuto informativo e istruzioni malevole quando questi sono inclusi nello stesso contesto.

Man mano che le organizzazioni adottano agenti AI per redazione, analisi e automazione, tali attacchi potrebbero diventare una categoria distinta di minacce informatiche. Di conseguenza, la sicurezza AI non può più essere trattata solo come un’estensione della sicurezza IT tradizionale, ma richiede politiche, controlli e meccanismi dedicati per la validazione delle fonti e la gestione del contesto utilizzato dai modelli generativi.

Domande frequenti (FAQ)

Che cos’è un AI Worm?

Un AI Worm è un attacco basato su istruzioni nascoste in un documento, che costringe un modello AI a eseguire determinate azioni e a copiare le stesse istruzioni nei documenti generati successivamente.

Microsoft Copilot è vulnerabile al nuovo AI worm?

Secondo la ricerca pubblicata da Håkon Måløy, la dimostrazione di tipo proof-of-concept mostra che Microsoft Copilot per Word può essere influenzato attraverso prompt injection nascosta in documenti e che il meccanismo può diventare auto-propagante in determinati flussi di lavoro.

Si tratta di malware?

No. L’attacco non esegue codice e non installa programmi malevoli. Sfrutta il modo in cui un modello AI interpreta il contenuto dei documenti.

Come possono ridurre le organizzazioni il rischio presentato dal nuovo AI Worm?

Attraverso la validazione dei documenti esterni, limitando le fonti utilizzate dall’AI, verificando i risultati generati e implementando politiche di governance e sicurezza dedicate all’uso dell’intelligenza artificiale.

Fonti delle informazioni: enklypesalt.com, theregister.com