Un semplice documento Word può diventare qualcosa di ben più insidioso di quanto sembri, perché un nuovo tipo di attacco chiamato worm AI riesce a nascondersi tra le righe di un file di testo e a diffondersi da un report all’altro senza che nessuno se ne accorga. Niente macro, niente codice VBA, niente allegati eseguibili. La minaccia sfrutta il modo in cui Microsoft 365 Copilot legge e interpreta il testo che gli viene passato come materiale di riferimento.
A far emergere la tecnica è stata una ricerca firmata da Håkon Måløy, pubblicata il 28 luglio 2026 dopo 144 giorni di lavoro coordinato con il Microsoft Security Response Center e i team di prodotto dell’azienda. Il ricercatore ha dimostrato che un’istruzione infilata dentro un documento esterno può condizionare Copilot per Word, modificare in silenzio il contenuto generato e far sì che quella stessa istruzione finisca copiata nel nuovo file. Quando qualcun altro riutilizza quel documento in una sessione successiva, il comando nascosto si riattiva. E il file appena creato diventa a sua volta il veicolo dell’attacco.
Il meccanismo assomiglia a quello di un worm informatico, ma con una differenza sostanziale rispetto ai malware classici. Qui non si replicano byte eseguibili e non si sfrutta direttamente il sistema operativo. A propagarsi è una sequenza di testo che il modello linguistico scambia per un comando affidabile. Il problema rientra nella famiglia delle cosiddette indirect prompt injection, gli attacchi in cui le istruzioni malevole non arrivano da ciò che digita l’utente, bensì da email, pagine web, documenti o risultati di ricerca elaborati dall’assistente.
Come il prompt malevolo si infila nel documento
Tutto parte da un file preparato per sembrare del tutto legittimo. Può essere un’analisi finanziaria, un documento condiviso da un fornitore, un rapporto scaricato da un sito compromesso. Dentro, l’aggressore inserisce una serie di istruzioni scritte in linguaggio naturale oppure organizzate con una struttura simile a JSON. I modelli linguistici sono interpreti piuttosto tolleranti. Riconoscono le relazioni tra i concetti anche quando parentesi, campi e delimitatori non seguono uno schema formale. Così una sequenza che ricorda un comando interno finisce per acquistare autorità agli occhi del modello, pur non rispettando alcuna sintassi documentata.
Per nascondere il payload a chi legge, il proof of concept di Måløy usa un trucco semplice: testo bianco su sfondo bianco, con un carattere minuscolo. A occhio nudo il documento non mostra niente di strano. Copilot, però, estrae solo il contenuto testuale e butta via la formattazione, colore e dimensione compresi. L’istruzione invisibile torna quindi perfettamente leggibile appena entra nella finestra di contesto del modello.
Il file generato diventa il nuovo untore
La parte più interessante riguarda la replica. Dopo la prima elaborazione, il documento originale dell’aggressore non serve più a niente. Il rapporto interno prodotto con Copilot contiene già la stessa istruzione nascosta e prende il posto di portatore. Si parla di worm documentale proprio per questo: il file non si auto invia, non apre connessioni di rete e non esegue codice sul computer, eppure basta che l’assistente lo legga perché copi il payload nel risultato e prepari il terreno per il passaggio successivo. A rendere il tutto più pericoloso c’è un’abitudine molto comune nelle aziende, quella di riutilizzare documenti fidati per risparmiare tempo. Un rapporto interno recente sembra più affidabile di un allegato che arriva da fuori. E dopo il primo giro, l’origine malevola diventa quasi impossibile da ricostruire, perché ogni nuovo file nasce da un account legittimo, dentro gli strumenti aziendali, con un’operazione all’apparenza autorizzata.
Il nodo di fondo sta nel fatto che dati e istruzioni finiscono nello stesso spazio. Un’applicazione tradizionale terrebbe separate le due cose con regole rigide. Un Large Language Model, invece, elabora tutto come token dentro la stessa finestra di contesto: messaggi di sistema, richiesta dell’utente, testo pescato da OneDrive e contenuto degli allegati partecipano insieme alla risposta. Måløy chiama questo fenomeno context collapse, il collasso della separazione tra fonti con livelli di fiducia diversi.
Cosa possono fare le aziende adesso
Al momento non esiste una correzione lato cliente capace di eliminare questa intera classe di vulnerabilità. Ci sono però mosse che riducono la superficie esposta. La prima è trattare ogni documento esterno come materiale non fidato, anche quando arriva da un partner conosciuto o da un sito che sembra autorevole. Prima di dare un file in pasto a Copilot conviene ispezionarlo con calma. In Word si può selezionare tutto il testo e applicare temporaneamente un colore uniforme, così da smascherare eventuali scritte invisibili. Vale la pena controllare anche caratteri troppo piccoli, paragrafi fuori dall’area visibile, caselle di testo, intestazioni e piè di pagina. Per un’analisi più spinta, un file DOCX si può aprire come archivio ZIP e verificare nei suoi componenti XML.
Serve poi separare i flussi che trattano materiale esterno da quelli che producono documenti critici. Un file ricevuto da terzi dovrebbe passare prima per un’estrazione e una revisione manuale, e solo le informazioni confermate dovrebbero entrare nel documento di lavoro. Cifre, date, percentuali, nomi e conclusioni vanno sempre confrontati con le fonti originali, e nei processi ad alto impatto l’approvazione di un secondo operatore resta indispensabile. Sul fronte delle correzioni, Microsoft ha lavorato durante tutti i 144 giorni di collaborazione. La prima mitigazione, del 3 aprile 2026 insieme alla funzione Edit with Copilot, bloccava il payload originale. Ma il 9 aprile Måløy ha riprodotto il comportamento cambiando compito e formulazione. Un secondo intervento del 14 luglio, basato anche sull’aggiornamento del modello, ha alzato l’asticella, però il giorno dopo il ricercatore ha ottenuto di nuovo manipolazione e replica con una variante. Nei test del 28 luglio 2026, con tutte le mitigazioni attive, la catena completa restava comunque riproducibile. Microsoft ha reso i payload noti meno efficaci e l’attacco meno immediato, ma non ha ancora separato in modo affidabile le istruzioni dell’utente dai comandi nascosti nei documenti, e lo stesso autore ammette che non si tratta di una falla che si chiude con una singola patch.