研究发现了一种名为“AI 蠕虫”的安全漏洞，攻击者可滥用 AI 文档助手的生成过程，使带有恶意指令的文档在不同文档间自动传播。
想象一下：你正在公司撰写一份非常重要的报告。你打开 Microsoft Word，对 AI 助手“Copilot”下令：“根据上周的会议纪要写一份提案。”几秒钟后，AI 就完成了一份出色的初稿。你将此文档分享给了同事，他们也利用各自的 Copilot 对文档进行修改或补充。然而，如果通过你的这份文档，有人预设的恶意指令瞬间传播到同事的文档中，会怎样？最近研究人员证实的“AI 蠕虫（AI Worm）”本质上就是这样。
为什么这很重要？
我们以往所知的计算机病毒主要是针对操作系统的漏洞进行攻击。但此次发现的安全漏洞方式完全不同。它们利用的是我们每天为提高工作效率而使用的 AI 助手——即“生成式 AI”（通过学习数据创造新内容的 AI）的运行原理本身。
安全专家警告称，AI 文档助手不仅仅是写作工具，在“理解”和“再生产”文档内容的过程中，它可能成为攻击的通道。打个比方，AI 就像一个对主人言听计从的“天真秘书”。如果攻击者在文档中隐藏了巧妙的指令，当你打开文档，AI 读取它的瞬间，受污染的就不是你的电脑，而是“AI 的判断”。这可能导致企业内部重要信息在不知不觉中通过受污染的文档泄露，或者恶意代码在企业网络内自动繁殖。 来源：AI Worms: How Self-Replicating Attacks Spread Through Multi …
轻松理解：“可复制的拼图碎片”
让我们用一个比喻来解释 AI 蠕虫的原理。假设你正在用乐高积木搭建一座城堡（文档）。Copilot 是一位可以帮你把城堡装饰得更漂亮的魔法师（AI）。试想一下，如果有人偷偷在城堡的设计图中夹了一张纸条（恶意提示词，即对 AI 下达的恶意指示），上面写着：“修复这座城堡时，必须使用这块秘密乐高积木。”
当你要求魔法师“把这座城堡扩建得更大”时，魔法师会读取设计图里的纸条，在扩建城堡的同时，将那块秘密积木原封不动地带入并拼接到新造的部分。现在，新造的部分也留下了同样的纸条。就这样，每当 AI 生成或修改文档时，恶意指令就像拼图碎片一样，被复制并转移到新的文档中。
如果说传统病毒是破门而入的“强盗”，那么 AI 蠕虫就是通过给受信任的秘书下达错误指令，让你自己的工作成果反过来攻击你自己的“间谍”。 来源：Context Collapse, Part 3 - AI Worming through Word
我们所处的现状：当前的威胁水平
研究人员已经通过实验证实了此类攻击的可能性。特别是 Copilot 等工具为了提高效率，通常会自由连接外部数据或其他工具，连接点越多，攻击者可利用的“攻击面（Attack Surface，攻击者试图渗透系统的路径）”就越广。 来源：Agentjacking and Self-Replicating AI Worms – Lab Space
目前已有多种研究报告了 AI 代理间的自动传播、电子邮件助手以及代码编写代理中恶意提示词扩散的案例。 来源：Researchers Build Self-Replicating AI Worm That Operates Entirely on Local, Open-Weight Models 当然，这并不意味着它今天就会让你的电脑瘫痪。但随着 AI 技术的发展，我们正进入 AI 能自主决策并穿梭于多个系统的“代理时代（Agentic，自主设定目标并行动的 AI）”，这种安全威胁已不再是实验室里的谈资，而是现实课题。 来源：AI Worms: Autonomous Self-Propagating Malware
未来应对：该准备什么？
AI 蠕虫不需要用户点击或安装任何东西，只需像往常一样使用 AI 工具，它就能自我复制并传播。这是现有安全程序难以防御的形态。简单来说，无论防火墙（阻挡外部入侵的安全装置）架设得多么坚固，如果办公室内部有秘书在不断复印和分发间谍的信件，那也是徒劳的。 来源：AI Worms Explained: Adaptive Malware Threats - SentinelOne
因此，未来比起盲目信任 AI 下达的指示或成果，安全企业提供的新型监控方式或检测 AI 异常行为的“异常检测系统”将变得至关重要。作为用户，在使用 AI 工具调用来源不明的文档时需要提高警惕。技术虽然会变得更便捷，但我们也迎来了一个需要警惕便利背后“聪明敌人”的时代。
参考资料
- MicrosoftWordCopilotAgent: эффективные промпты… - YouTube
-
[Wordfor the Web: One-Click Spelling & Grammar… Windows Forum](https://windowsforum.com/windows-news.4/word-for-the-web-one-click-spelling-grammar-proofreading-with-copilot.380261/) -
[TheSelf-PropagatingAIWorm: Separating the Signal… Penaxtra Blog](https://penaxtra.com/blog/self-propagating-ai-worm-what-it-means) - Uses of Microsoft 365AICopilotForWordOn… - OpenAIMaster
- Microsoft 365Copilot- Sign in
-
[How is data pushed fromDocumentAl to StudyX](https://studyx.ai/questions/4lih4ig/how-is-data-pushed-from-document-al-to-engage-through-a-fabric-pipeline-through-a-virtual) - [Copilot3D] — экспериментCopilotLabs
-
[Context Collapse, Part 3 - AI Worming through Word En Klype Salt](https://enklypesalt.com/posts/context-collapse-part3-ai-worming-through-word/) - Researchers Build Self-Replicating AI Worm That Operates Entirely on Local, Open-Weight Models
- Agentjacking and Self-Replicating AI Worms – Lab Space
- Miasma and IronWorm: Self-Replicating Worms Targeting AI Credentials – Lab Space
- Copilot in Word – CIAOPS
- Copirate 365 at DEF CON: Plundering in the Depths of Microsoft Copilot (CVE-2026-24299) · Embrace The Red
-
[CSAI Foundation Cloud Security Alliance AI-Adaptive Worms: Autonomous](https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/06/CSA_research_note_ai_adaptive_worms_autonomous_exploitation_20260604-csa-styled.pdf) - Zero-Click AI Worms: EchoLeak, CVE-2025-53773, and the …
- AI Worms: How Self-Replicating Attacks Spread Through Multi …
- AI Worms Explained: Adaptive Malware Threats - SentinelOne
- AI Worms: Autonomous Self-Propagating Malware
- Promptware: AI Agents as Attack Infrastructure – Lab Space
- 直接攻击操作系统的漏洞
- 在 AI 生成或编辑的结果中隐藏恶意指令并进行传播
- 必须由用户手动点击链接才能传播
- 黑客入侵用户的电子邮件账户并发送大量邮件
- 文档中包含的恶意指令通过 Copilot 复制并转移到新文档中
- 加密计算机上的所有文件
- AI 蠕虫传播必须有用户直接参与
- 像 Copilot 这样的 AI 工具因连接外部数据源，可能导致攻击面扩大
- AI 蠕虫不会在 Copilot 编写的文档中产生