核心要点
载体是提示词而非二进制代码：AI 助手通道蠕虫以一段自然语言指令为载体，寄生在文档/邮件/RAG 数据流里，不需要任何软件漏洞即可传播。
根因是指令与数据共享同一通道：LLM 无法在架构上区分「真的用户指令」和「伪装成数据的指令」，外部内容一旦被拼进上下文就可能被执行——这是范式级而非版本级问题。
理论源头是 Morris II 的 ASRP：对抗性自复制提示 = 越狱 j + 复制 r + 载荷 m，借 RAG 获得持久性（arXiv:2403.02817）。
2026 年真实落地：Copilot for Word 跨域提示注入（Håkon Måløy，MSRC 144 天协调）证明白色隐藏文本即可让文档变成自传播载体，GPT-5.5/5.6 仍可复现。
防御靠重建指令-数据边界：输入定界与指令降权、输出净化与隐藏内容扫描、高影响操作人工门禁、完整审计与污染溯源——纵深而非银弹。
简要回答
AI Worm（AI 助手通道型）是一种以提示词为载体、借 AI 助手间正常数据流自传播的蠕虫，与传统恶意软件最大的区别是它不利用软件漏洞，而是利用「指令与数据混在同一文本流」这一 LLM 固有属性。它的理论根基是 Morris II 提出的对抗性自复制提示（ASRP：越狱+复制+载荷），靠 RAG 持久化；2026 年 Copilot for Word 的跨域提示注入是真实落地——隐藏文本被 Copilot 读取、执行、再复制进新文档，形成零点击的自传播闭环。防御的核心不是打补丁，而是重建指令与数据的边界：输入定界、输出净化、最小权限、行为审计。
标准回答
一、先区分两种「AI 蠕虫」
「AI 蠕虫」在 2026 年被两套研究同时使用，必须先澄清。一种是网络漏洞利用型（如多伦多大学 CleverHans Lab 的研究）：LLM 作为「大脑」实时推理生成攻击策略，靠利用 CVE 在企业网络横向移动——这本质是「传统蠕虫 + LLM 增强」。另一种是 AI 助手通道型（本题所指）：载体是一段提示词，传播介质是文档/邮件/RAG 数据流，不需要任何漏洞，只需要 AI 助手会把读到的内容当指令执行。后者更隐蔽，因为每次传播都由真实用户的正常操作触发，没有异常进程可供检测。
二、理论源头：Morris II 与 ASRP
Morris II（《Here Comes The AI Worm》, arXiv:2403.02817）是第一个针对 GenAI 生态的蠕虫设计，核心武器是对抗性自复制提示（ASRP），由三组件构成：j（jailbreak，越狱前缀迫使模型听从指令）、r（replicate，把输入复制到输出，是自传播引擎）、m（malicious，窃数据/发垃圾等载荷）。它是 RAG 蠕虫：一旦 ASRP 写进受害者的 RAG 数据库，就获得跨会话持久性，每次被检索到就执行一次并感染新输出。本质是经典「让数据重新变成代码」攻击思想在 LLM 时代的再现。
三、2026 真实案例：Copilot for Word
研究者 Håkon Måløy 披露（经与 MSRC 144 天协调）：攻击者在 Word 文档末尾用白色字体隐藏一段 JSON 提示，当受害者把它作为 Copilot 上下文（或 Copilot 从 OneDrive 自动检索到它）时，Copilot 剥离格式、读取隐藏指令、篡改文档（如修改财务数字），并把完整恶意提示追加进新生成的文档——新文档成为新载体，即使原始外部文档已不在场也能继续传播。研究者已在 GPT-5.5/5.6 上复现，说明单点修补只能提高门槛、无法根除。
四、与传统恶意软件的根本区别
| 维度 | 传统恶意软件 | AI 助手通道蠕虫 |
|---|---|---|
| 载体 | 二进制代码 | 自然语言指令 |
| 依赖漏洞 | 是 | 否（只需指令-数据不分） |
| 触发 | 执行恶意程序 | 用户正常使用 AI 助手 |
| 检测 | 特征码/异常进程 | 内容看似合法、由合法用户编辑 |
| 修复 | 打补丁可根除 | 范式级，补丁只能提高门槛 |
五、防御框架
围绕「注入→触发→篡改→复制→传播」闭环，让至少一环永不成立：指令与数据分离（定界符+指令性语句降权，治本）、输出验证与净化（扫描隐藏内容，断复制）、最小权限与人在环路（高影响操作人工确认，限损害）、行为与内容审计（完整输入输出记录+污染溯源，保追溯），外加治理层（收窄可进入上下文的外部内容注入面）。贯穿原则：这类风险的本质是指令与数据边界消融，防御的核心是重建这道边界，而非追逐具体载荷。
常见误区
⚠️ 常见踩坑
误区一：「微软打了补丁就解决了。」 错。根因是「指令与数据同通道」的架构选择，研究者已证明升级模型后新载荷仍绕过；这是需要持续治理的攻击面，不是一次性漏洞。误区二：「用户不打开陌生文档就安全。」 错。企业级 Copilot 会自动从知识库检索素材，恶意文档可能在你不知情时被系统主动注入，零点击是默认形态。误区三：「这和宏病毒一样，用杀软就行。」 错。宏病毒有代码特征，AI 蠕虫载体是自然语言、藏在正常文档里、由合法操作触发，特征码检测几乎无效，必须转向内容语义检测与输出验证。误区四：「换个产品就没事。」 错。任何「读取外部内容并写回数据流」的 AI 助手都有相同结构性风险，Morris II 在三个模型上都验证了传播。
追问
追问 1：ASRP 的「自复制」和传统计算机病毒的自我复制有什么异同？
**相同点是都把「复制自己」作为核心能力，不同点在复制的机制与载体。**传统病毒复制的是二进制代码，靠感染可执行文件或引导区，依赖操作系统对「代码」的执行机制；ASRP 复制的是一段自然语言指令，靠诱导 LLM 在生成输出时把这段指令原样（或近似）再输出一次，依赖的是模型「把数据当指令执行」的倾向。换句话说，传统病毒利用「代码与数据的执行边界」，ASRP 利用「指令与数据的语义边界」——后者更难用传统手段检测，因为没有可匹配的代码特征，只有语义意图。两者的防御共性是：都要在「载体进入系统」和「载体被执行/复制」两个环节设卡。
追问 2：为什么 RAG 对 AI 蠕虫既是便利又是放大器？没有 RAG 还会有这个问题吗？
**RAG 给蠕虫提供了持久化和自动注入两个能力，但不是必要条件。**没有 RAG，蠕虫仍需用户主动把受污染文档作为上下文，传播链较短。RAG 的放大作用体现在两点：一是持久化——恶意内容一旦进入向量库就能跨会话存活、被反复检索激活；二是自动注入——企业级 Copilot 会主动检索「相关素材」，受害者不必打开恶意文档，系统会替他找到并注入。但即便完全没有 RAG，只要存在「AI 读取外部内容 + 生成内容写回数据流」的闭环，且指令与数据不分，自传播依然成立（比如纯邮件助手场景，Morris II 最初就是用邮件助手演示的）。所以 RAG 是放大器，根因仍是指令-数据边界消融。
追问 3：如果让你给一款企业 AI 助手做「自传播风险」评估，你会看哪些指标？
**我会按「注入面—复制面—损害面—追溯面」四维设计指标。**注入面：外部内容进入上下文前是否有定界/指令降权、可自动检索的知识库范围是否做了白名单。复制面：输出离开模型前是否做隐藏内容扫描（白色文本、零宽字符、异常 JSON）、是否强制输出格式契约。损害面：高影响操作（改数、发送、调外部 API）是否要求独立人工确认、是否默认只读。追溯面：是否有完整输入输出审计、能否做污染溯源（定位一份文档是被哪一轮编辑污染的）。我会特别关注一个综合指标：从「发现一个恶意提示」到「定位全部下游受污染文档」的时间——这直接反映闭环是否可被切断。最后强调，这些指标的有效性不依赖具体载荷，因此可以长期复用。
🔗 相似问题
同一考点的不同问法，换着练更稳
延伸学习
按主题分类的相关资源，便于系统复习