AI Worm（AI 蠕虫）

AI Worm 这个词在 2026 年被两套不同研究同时使用，必须区分。网络漏洞利用型（多伦多大学 CleverHans Lab）是运行在被感染主机上、由 LLM 实时推理生成攻击策略、靠利用 CVE 横向移动的恶意进程。AI 助手通道型（本条所指）则以一段提示词为载体，借文档/邮件/RAG 数据流传播，不需要任何软件漏洞，只需 AI 助手会把读到的内容当指令执行。后者更隐蔽：每次传播都由真实用户的正常操作触发，没有『异常进程』可供检测。

Morris II（arXiv:2403.02817）的核心武器是对抗性自复制提示（ASRP），由三个组件构成：j（jailbreak） 越狱前缀迫使模型听从后续指令；r（replicate） 把输入复制到输出的指令，是自传播引擎；m（malicious） 附加恶意动作（窃数据、发垃圾邮件）。它是一种 RAG 蠕虫：一旦 ASRP 写进受害者的 RAG 数据库，就获得跨会话持久性，每次被检索到就执行一次并感染新输出。这正是『让数据重新变成代码』的经典攻击思想在 LLM 时代的再现。

2026 年 7 月 Håkon Måløy 披露：攻击者在 Word 文档末尾用白色字体隐藏 JSON 提示，当受害者用它作为 Copilot 上下文时，Copilot 剥离格式、读取隐藏指令、篡改文档（如修改财务数字），并把完整恶意提示追加进新生成的文档——新文档成为新载体，即使原始外部文档已不在场也能继续传播。研究者将其定性为跨域提示注入（XPIA），并在 GPT-5.5/5.6 上复现。防御核心是重建指令与数据的边界：输入定界与指令性语句降权、输出净化与隐藏内容扫描、高影响操作人工门禁、完整的输入输出审计与污染溯源。