La sicurezza dei flussi di lavoro assistiti dall'intelligenza artificiale ha appena subito un colpo durissimo. Håkon Måløy, data scientist norvegese con un dottorato in AI applicata e machine learning, ha rivelato l'esistenza di un verme AI capace di auto-propagarsi attraverso Copilot per Word. La vulnerabilità permette a istruzioni malevole, nascoste in un documento sorgente, di infettare ogni nuovo file generato o modificato dall'assistente, trasformando documenti apparentemente legittimi in nuovi vettori di attacco.

Il meccanismo della propagazione silenziosa

L'attacco sfrutta una tecnica definita Cross-Domain Prompt Injection (XPIA). L'aggressore inserisce istruzioni malevole in un documento Word, rendendole invisibili all'occhio umano attraverso l'uso di testo bianco su sfondo bianco e caratteri di piccole dimensioni, spesso formattati in JSON. Quando un utente utilizza Copilot per redigere una bozza o modificare un testo basandosi su quel documento infetto, l'AI interpreta le istruzioni nascoste come comandi autorevoli dell'utente.

Il rischio non è solo la manipolazione immediata dei dati — come l'alterazione silenziosa di cifre in un report finanziario — ma la capacità del codice di copiarsi nel documento di output. Se l'utente salva il file e lo condivide con un collega, che a sua volta userà quel documento come base per un altro lavoro assistito da Copilot, il verme continuerà a diffondersi in modo esponenziale all'interno dell'organizzazione senza che l'attaccante originale debba intervenire ulteriormente.

Il fallimento delle mitigazioni di Microsoft

Il dettaglio più allarmante riguarda l'inefficacia dei tentativi di riparazione. Måløy ha collaborato con il Microsoft Security Response Center (MSRC) per un periodo di coordinamento esteso fino a 144 giorni, ma i risultati sono stati deludenti. Due tentativi di mitigazione, tra cui l'aggiornamento del modello sottostante a GPT-5.6, non hanno chiuso la vulnerabilità di classe.

Secondo il ricercatore, l'attacco è stato riprodotto con successo anche dopo l'implementazione della nuova esperienza "Modifica con Copilot". Questa persistenza dimostra che il problema non risiede in un singolo bug di implementazione, ma in una falla strutturale nel modo in cui i modelli linguistici gestiscono il confine di fiducia tra le istruzioni dell'utente e i dati contenuti nei documenti allegati.

Un panorama di vulnerabilità persistenti

Mentre l'industria discute se l'AI stia effettivamente accelerando la scoperta di exploit — con dati che suggeriscono come solo l'1,3% delle falle scoperte dall'AI sia stata effettivamente sfruttata — casi come quello di Copilot ricordano che i rischi sono concreti. Questa situazione si inserisce in un contesto critico per l'ecosistema Microsoft, già sotto pressione a causa di vulnerabilità ad alta severità in Exchange Server sfruttate da gruppi hacker legati al Cremlino.

Come ridurre l'esposizione

Poi che non esiste attualmente una soluzione definitiva lato vendor, gli esperti consigliano di adottare un approccio a zero trust verso i documenti esterni. È fondamentale revisionare accuratamente ogni file prima di utilizzarlo come contesto per Copilot e, soprattutto, controllare minuziosamente i testi generati dall'AI prima di condividerli o distribuirli internamente, per evitare di diventare involontariamente l'anello di una catena di infezione.

Impatto sul mercato italiano

Per le imprese italiane, che stanno investendo massicciamente nell'integrazione di Copilot per ottimizzare la produttività, questo scenario è particolarmente critico. Considerando che il costo medio di una violazione dei dati in Italia è risalito a 3,55 milioni di euro, la possibilità che un verme AI manipoli silenziosamente report finanziari o documenti legali interni rappresenta un rischio operativo e reputazionale di primo livello, specialmente per le aziende che non hanno ancora implementato protocolli rigorosi di revisione dei contenuti AI-generated.