Morten Lyhne Petersen
En norsk AI-forskare har visat hur osynlig text i ett vanligt Word-dokument kan kapa Microsofts Copilot.
Angreppet kräver ingen installation och ingen skadlig kod i traditionell mening. Det räcker att någon öppnar ett Word-dokument och ber Copilot skriva om eller sammanfatta innehållet – då börjar problemen.
Metoden avslöjades den 29 juli av den norske datavetaren Håkon Måløy, som har doktorerat i tillämpad AI och maskininlärning. Han har rapporterat sårbarheten till Microsofts säkerhetscenter (MSRC) den 6 mars, och de 144 dagar av samordnad hantering som följde räckte inte för att stänga hålet.
Så fungerar den osynliga masken
Attacken bygger på att angriparen gömmer instruktioner som vit text på vit bakgrund inne i ett Word-dokument. För det mänskliga ögat är sidan tom eller ser normal ut. När Copilot läser dokumentet strippar assistenten bort formateringen och behandlar den dolda texten som en del av användarens egen fråga.
Resultatet är att Copilot både utför angriparens instruktioner – till exempel ändrar siffror i en rapport – och kopierar in samma dolda instruktioner i det nya dokumentet den skapar. När mottagaren sedan använder det dokumentet med Copilot startar cykeln om, utan att den ursprungliga angriparen behöver vara inblandad.
Måløy kallar det ett självutbredande AI-fenomen som rör sig genom ”vanliga dokumentflöden i en mainstream-kontorssvit”, enligt en genomgång i iTnews. Klassificeringen är prompt injection, en attacktyp där en AI-modell luras att följa instruktioner som är gömda i innehåll den bara borde läsa.
Microsoft har lappat, men hålet öppnar sig igen
Microsoft har försökt stoppa attacken flera gånger under de fyra månaderna sedan rapporten kom in. En ny ”Edit with Copilot”-upplevelse rullades ut i april 2026 och kringgicks inom några dagar med en omformulerad prompt. Den 14 juli uppgraderade Microsoft Copilot till en nyare språkmodell, GPT-5.5, och redan dagen efter demonstrerade Måløy att attackklassen fungerade igen.
I ett skriftligt uttalande skriver Microsoft att bolaget har ”åtgärdat de fynd som forskaren rapporterat” och använder en säkerhetsstrategi i flera lager som ska blockera skadliga instruktioner på flera punkter. Bolaget uppmanar kunderna att installera senaste uppdateringar, behandla innehåll från okända källor med försiktighet och granska AI-genererat innehåll innan det används eller delas.
Måløy själv är tydlig med att någon fullständig kundskyddsåtgärd inte existerar. ”Att förhindra prompt injection och självspridning är fortfarande en olöst utmaning för nuvarande LLM-baserade system”, konstaterar han enligt CyberInsider.
Vad du bör göra nu
Copilot i Word används av miljontals privatpersoner och företag, och just den vardagliga användningen är det som gör attacken farlig. Ett dokument från en samarbetspartner, en offert från en leverantör eller ett kontraktsutkast som skickats via mejl kan i teorin bära med sig instruktioner som varken avsändaren eller mottagaren ser.
Rekommendationen från både forskaren och Microsoft landar i samma sak: behandla externa dokument som otillförlitliga, undvik att låta Copilot arbeta på filer vars ursprung du inte känner till, och läs alltid igenom det som assistenten producerar innan siffror, formuleringar eller belopp går vidare i en avtalskedja.
Något färdigt filter mot den här attacktypen finns inte i skrivande stund – varken hos Microsoft eller i konkurrerande AI-assistenter.
