很多人每天用AI处理文档，默认假设是：我看到的，就是AI读到的。
8月初，一位挪威安全研究员公开的研究，把这个假设击穿了：你交给AI助手的Word文档里，可能藏着你肉眼看不见的指令。
发生了什么？比你想象的更隐蔽
挪威安全研究员Hakon Moller在博客公开了一项研究：他在Word文档中嵌入JSON格式命令，用白底白字、极小字号隐藏。微软365 Copilot在处理这份文档时，把季度财务报告里所有数值减半，而且没有向用户报告。微博
微软总部大楼
更麻烦的是后续：攻击命令被以白色8号字体抄进结果文档底部，这份"被感染"的结果文档再交给下一个人用AI处理时，无需原始文档就能重复同样的操作——自我传播，形同蠕虫。小红书
攻击门槛也极低：攻击者不需要进入你公司的微软365环境，只要文档能通过SharePoint、Teams或Outlook送到你手上就够了。微博而在Work IQ模式下，即使你没有主动附加文档，Copilot也会自己搜索OneDrive，可能把某个文件夹里躺着的恶意文档自动拉进来当参考材料。
为什么8月才集中报道？看时间线就明白了：Moller早在3月6日就向微软安全响应中心报告，微软3月31日确认问题，4月3日发布首次缓解措施，被攻击者改了下措辞就再次复现；7月14日微软把基础模型升级到GPT-5.5作为第二次缓解，次日在GPT-5.6上仍被复现。微软3月31日就确认，两次修复失败，拖了144天仍无解。小红书
为什么修不好？问题出在机制层
提示词注入攻击示意图
AI之所以会被这种"看不见的文字"骗到，是因为它在机制层面分不清"内容"和"指令"。哔哩哔哩Copilot在处理文档前，会先剥离颜色、字号这类"格式"信息，只把文本交给模型——人眼里的一片空白，在AI那里是一条能正常读到的指令。这类攻击叫跨域提示注入，根子在于现阶段大模型没法可靠区分哪段文本是内容、哪段是指令。
这也解释了为什么升级两次模型，都只是"降低中招概率"，而不是"完全免疫"。Moller自己也承认，目前全行业同类产品对这类攻击都还没有完美方案。
先别慌，把几个事实校准一下
就目前公开信息看，这仍是一次概念验证（PoC）阶段的攻击，没有分配CVE编号，也没有确认被用于真实攻击；它的危害在于文档内容被篡改和命令传播，而非文件外泄——不是AI偷看了你的文档发给别人。微博Moller也表示，微软的修复已显著降低暴露风险。
也就是说：没必要因此停用AI处理文档，但有几个习惯，确实到了该改的时候。
四道防线，对国产AI文档助手用户同样适用
先说清楚：这次被演示的是微软365 Copilot，并没有证据表明WPS AI、Kimi、腾讯文档等国产工具存在同样的攻击成功，我也不打算拿这件事给国产产品做安全性判决。但提示注入的底层机制对整个大模型生态是共通的，行业警示也指出，提示注入可能藏在文档、邮件、网页里，诱导AI系统执行非预期动作。微博所以下面这四道防线，对任何用AI助手处理文档的人都一样成立：
外部来源的文档，按"不可信材料"对待。同事转来、网上下载、邮件收到的文档，喂给AI之前先扫一眼；想更稳妥一点，可以在Word里"全选"看看字数、或打开编辑标记，检查空白处有没有混进奇怪的东西——字数明显多于可见内容量的文档，要警惕。
AI处理带数据的文档，数字必须回原文核对。这次PoC里最阴的一点是"Copilot未向用户报告"：数字被悄悄改了，你不看原文根本无从发现。周报、财报、报价单、统计表，凡是数字重要的文档，AI处理完至少抽查关键数值。
对"AI读文档→改完→你转发"这条链路格外谨慎。这次攻击的自我传播，靠的正是人与人传递文档的链路，你可能在不知情的情况下成为"感染文档"的中转站。含AI生成或AI修改内容的文档，转发给别人之前过一遍。
复查自己的自动化链路。如果你设置了"AI自动读邮件、自动总结文档、自动归档"这类流程，或者开着AI自动检索云盘的功能，现在是时候想想哪些文件夹对它敞开。AI自动碰的东西越少，攻击面越小。
后续值得盯的信号
微软是否会发布进一步修复、此事最终会不会被分配CVE编号——CVE落地意味着更高的重视程度和修复压力；国产AI文档助手厂商会不会就提示注入防护发声或发布安全白皮书——今年已有行业白皮书把"藏在文档里的提示注入"列为Agent治理要点；如果你所在的公司正在部署Agent类办公工具，过渡期请保持对重要文档的人工复核，AI越"自主办事"，这四道防线的价值越高。
AI越方便，越值得在关键数字上停几秒核对一下。这一步，是眼下成本最低、回报最高的自保习惯。
