Copilot legge istruzioni invisibili nei file Word
Un ricercatore ha dimostrato che un documento Word può contenere istruzioni invisibili a occhio nudo che Copilot riesce a leggere e a eseguire. Il risultato: il documento generato dall'IA può essere alterato e trasformare il file successivo in un nuovo portatore dell'attacco — senza macro e senza codice eseguibile tradizionale. In questa guida spiego cosa è stato scoperto, come funziona l'attacco e cosa dovresti fare.
In breve
Il ricercatore Håkon Måløy ha dimostrato che un aggressore può nascondere istruzioni in un documento Word usando testo bianco su sfondo bianco o caratteri microscopici. Nel flusso analizzato, Copilot trasmette al modello il contenuto testuale senza preservare in modo affidabile la formattazione visiva: di conseguenza, istruzioni nascoste possono diventare leggibili per il modello, che le tratta come normali comandi. Nel test, il modello ha modificato contenuti nel documento generato e ha copiato lo stesso prompt nel nuovo file — creando un meccanismo di propagazione. Non servono macro né codice eseguibile. Durante un periodo di divulgazione coordinata durato ~144 giorni, Microsoft ha introdotto più mitigazioni che hanno bloccato i payload iniziali; il ricercatore ha poi riprodotto la catena con istruzioni modificate e sostiene che la classe generale del problema fosse ancora sfruttabile al momento della pubblicazione.
- Fonte primaria: ricerca tecnica originale pubblicata da Håkon Måløy nell'ambito della serie "Context Collapse".
- Fonti secondarie: TechRadar, PC Gamer e Malwarebytes, consultate per confrontare la ricostruzione giornalistica e divulgativa della ricerca.
- Non ho riprodotto personalmente la dimostrazione né verificato il proof of concept in un ambiente Microsoft 365: le informazioni derivano dalle fonti sopra citate.
- Dato non disponibile pubblicamente: il numero di utenti effettivamente colpiti da attacchi reali che sfruttano questa tecnica; non risultano, nelle fonti consultate, prove di impiego criminale concreto.
- Ultima verifica dell'articolo: 6 agosto 2026.
Quando ho letto per la prima volta di questa ricerca, la prima cosa che mi sono chiesto è stata: come è possibile che un documento Word, senza una sola riga di codice eseguibile, possa ingannare uno strumento di intelligenza artificiale? La risposta è sorprendentemente semplice, e per questo è preoccupante. Vediamola passo per passo.
Cos'è stato scoperto
Il ricercatore Håkon Måløy ha pubblicato una ricerca che dimostra come sia possibile nascondere istruzioni all'interno di un documento Word rendendole invisibili a chi legge il file, ma leggibili da Copilot. Nel flusso analizzato, Copilot for Word trasmette al modello il contenuto testuale del documento senza preservare in modo affidabile la formattazione visiva. Un testo scritto in bianco su sfondo bianco, o in corpo 1, è invisibile a occhio nudo — ma può diventare leggibile per il modello proprio perché la formattazione che lo nascondeva non viene mantenuta nell'input.
La tecnica rientra nella categoria degli attacchi di prompt injection: invece di "hackerare" il software nel senso tradizionale, si inseriscono istruzioni nel contesto che il modello leggerà, sperando che le esegua. La novità in questo caso è che il vettore è un comune documento Word, non un'email di phishing o un sito malevolo.
Come funziona l'attacco, in parole semplici
Immagina un documento Word dall'aspetto completamente normale: un report, un contratto, un verbale di riunione. Visivamente è pulito. Ma in fondo alla pagina, o in mezzo al testo, qualcuno ha scritto delle istruzioni usando un carattere bianco su sfondo bianco — o in corpo 1, praticamente invisibile allo zoom normale.
Tu apri il documento, non vedi nulla di anomalo, e lo usi come fonte per una richiesta a Copilot: "Riassumi questo documento" oppure "Riscrivi questa sezione". Nel flusso analizzato dal ricercatore, il contenuto testuale viene passato al modello senza che la formattazione visiva sia preservata in modo affidabile. A quel punto le istruzioni nascoste — invisibili a te, ma ora leggibili per il modello — possono essere trattate come normali comandi da eseguire.
Perché Copilot non se ne accorge
Il problema nasce da una caratteristica fondamentale dei modelli linguistici: non distinguono naturalmente tra i dati che devono elaborare e le istruzioni che devono seguire. Tutto arriva come testo nel contesto. Se il testo del documento contiene qualcosa che assomiglia a un'istruzione, il modello può trattarla come tale.
La prompt injection appartiene a una classe generale di problemi comune ai sistemi IA che elaborano contenuti esterni. Questa specifica catena di propagazione attraverso documenti Word è stata però dimostrata in Copilot for Word, sfruttando il modo in cui quel prodotto elabora e riutilizza i documenti. Microsoft ha lavorato per introdurre salvaguardie, ma la ricerca dimostra che la classe generale del problema è difficile da eliminare del tutto.
Il meccanismo del "worm IA"
La parte più interessante — e preoccupante — della ricerca è il comportamento che Måløy ha definito "worm". Nel test, le istruzioni nascoste nel documento originale hanno indotto Copilot a fare tre cose:
- Modificare le informazioni nel documento prodotto — testi, numeri o conclusioni alterati rispetto a quanto c'era nell'originale.
- Copiare lo stesso prompt nascosto nel nuovo file — le istruzioni si sono propagate nel documento appena generato.
- Trasformare il nuovo documento in un altro "portatore" — se qualcuno usa quel file come fonte per una nuova richiesta a Copilot, il ciclo può ripetersi nelle successive elaborazioni.
Il risultato ricorda il comportamento di un worm informatico tradizionale: le istruzioni possono propagarsi da un documento a quello successivo attraverso normali flussi di condivisione e utilizzo con Copilot. Nel proof of concept non servono macro, malware tradizionale o codice eseguibile, ma il meccanismo richiede che i documenti vengano riutilizzati in un flusso assistito dall'IA — attraverso OneDrive, SharePoint, Teams o allegati condivisi. Dopo il primo ingresso, la propagazione può continuare senza un nuovo intervento dell'aggressore, ma solo se i documenti interessati vengono riutilizzati in successive attività assistite da Copilot.
Cosa ha fatto Microsoft
Måløy ha coordinato la segnalazione con Microsoft per circa 144 giorni prima di pubblicare la ricerca. Durante questo periodo Microsoft ha introdotto più mitigazioni, tra cui una prima correzione ad aprile e un aggiornamento del modello a luglio. Questi interventi hanno bloccato i payload inizialmente segnalati, ma il ricercatore ha poi riprodotto la catena con istruzioni modificate e sostiene che la classe generale del problema fosse ancora sfruttabile al momento della pubblicazione. Non è insolito: gli attacchi di prompt injection sono un problema aperto nell'intero settore dell'IA, e non esiste ancora una soluzione universale.
Qual è il rischio reale oggi
È importante non sopravvalutare né sottovalutare questa ricerca. Alcune precisazioni che mi sembra fondamentale fare:
- Aprire il file da solo non basta. Il rischio nasce quando Copilot usa il documento come fonte: perché l'utente lo allega, lo seleziona, oppure perché in modalità come "Edit with Copilot"/Work IQ il sistema lo individua tra i documenti pertinenti disponibili all'utente. Non è un virus Word classico.
- Non risultano casi di sfruttamento reale documentati nelle fonti consultate. Siamo davanti a una dimostrazione di principio, non a una campagna malevola attiva.
- Nel proof of concept documentato, l'effetto dimostrato riguarda soprattutto l'integrità e la propagazione dei documenti. La ricerca non dimostra, in questo specifico scenario, un accesso diretto al computer o un furto di dati; ciò non esclude però che altre varianti di prompt injection possano avere impatti sulla riservatezza.
- Microsoft ha già introdotto contromisure, anche se non risolutive per la classe intera del problema.
Detto questo, il problema è reale e merita attenzione — soprattutto per chi usa Copilot in ambienti professionali dove i documenti generati dall'IA vengono poi condivisi con altri o usati come riferimento per decisioni.
Cosa fare concretamente
- Non usare come fonte per Copilot documenti Word provenienti da fonti esterne non verificate — allegati email da mittenti sconosciuti, file scaricati da siti non affidabili, documenti condivisi da terzi senza contesto chiaro.
- Verifica manualmente cifre, nomi e conclusioni nei documenti prodotti da Copilot, specialmente se il file di partenza era di provenienza esterna.
- Considera non affidabile un documento interno se è stato generato o modificato a partire da fonti esterne passate per Copilot.
- Evita di condividere automaticamente file generati da Copilot senza averli revisionati.
- Segnala comportamenti anomali — testi inattesi, modifiche non richieste, contenuti che non corrispondono al documento originale — al reparto IT aziendale.
Cosa sappiamo
- Ricerca originale di Håkon Måløy — analisi tecnica, cronologia della segnalazione e proof of concept
- Malwarebytes — spiegazione divulgativa del meccanismo e delle mitigazioni
- TechRadar — ricostruzione giornalistica con dichiarazione di Microsoft
- PC Gamer — analisi tecnica accessibile
Domande frequenti
L'IA sta cambiando il modo in cui lavoriamo con i documenti, ma introduce anche superfici di attacco che gli strumenti di sicurezza tradizionali potrebbero non essere progettati per riconoscere. La risposta più efficace, per ora, è la stessa che si usa per le email sospette: trattare con cautela tutto ciò che arriva dall'esterno, prima di dargli fiducia. Segui ScelgoIo per restare aggiornato sui rischi concreti, senza allarmismo.
E tu: usi Copilot nel lavoro quotidiano? Hai mai verificato cosa succede effettivamente al tuo documento dopo che Copilot lo elabora? Scrivilo nei commenti.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
