Wird ein manipuliertes Dokument mit „Edit with Copilot“ oder dem „magic pen“ verarbeitet, führt Copilot die eingebetteten Anweisungen aus. Beim Erzeugen eines neuen Dokuments schreibt er die Anweisungen wieder hinein. Das Folge-Dokument kann sie beim nächsten Durchlauf erneut auslösen, ohne dass die ursprüngliche Datei noch beteiligt ist.
Måløy meldete den Befund am 6. März 2026 an Microsoft. Nach 144 Tagen Abstimmung und Gegenmaßnahmen am 3. April und 14. Juli veröffentlichte er den Angriff am 28. Juli. Microsoft wechselte zwischenzeitlich das Modell; nach Måløys Darstellung war die Kette mit GPT-5.6 weiterhin nachvollziehbar, erforderte aber angepasste Nutzlasten.
Der Fall gehört zu Måløys Reihe „Context Collapse“, in der Daten und Anweisungen im selben Kontext verwechselt werden. Er beschreibt eine Angriffsklasse, keine bestätigte Ausnutzung gegen beliebige Word-Dokumente. Welche Schutzmaßnahmen Microsoft dauerhaft einführt, bleibt offen.