把一份 Word 文件交給 AI 摘要時，你看到的頁面不一定就是工具擷取到的全部文字。文件可以同時保存內容和顯示設定；某段字不出現在畫面上，並不代表它已從檔案刪除。理解這個差別，才能判斷文件中的可疑內容為何可能影響 AI，以及哪些防線真正對應風險。
先把核心概念分清楚：檔案保存什麼、軟體顯示什麼，以及 AI 工具抽取什麼，是三個不同層次。
本文目錄 · 5 個章節
文件不是只有一張看得見的頁面
在 WordprocessingML 中，文件本文使用 document、body、p、r、t 等元素表達文件結構、段落、文字區段與文字。一個 DOCX 又可以包含多個部分，因此，畫面是軟體解讀文件結構與格式後產生的結果，不是原始內容的唯一形式。來源：Microsoft 文件結構說明
例如，同一句話中的兩段文字可以有不同格式。隱藏文字設定 w:vanish 會影響文字區段的顯示，設定也可能繼承而來；應用程式還可以選擇顯示隱藏文字。這說明隱藏是一種呈現狀態，而不是刪除動作。來源：Microsoft 隱藏文字說明
接著，AI 工具未必直接觀看你眼前的頁面。它可能先透過解析器抽取文字，再把結果交給模型。解析器就是把文件格式轉成可處理內容的程式；不同工具對隱藏文字、註解或其他部分的處理可能不同。因此，不能宣稱所有 AI 都會讀出所有隱藏內容，也不能因為某次畫面上看不到，就認定擷取結果一定沒有它。
從文字內容到操作指令，中間有一條界線
提示注入指外部輸入試圖改變模型原本應遵守的任務或行為。若內容來自文件、網頁等外部來源，而不是使用者直接下的指示，通常稱為間接提示注入。OWASP 將它列為大型語言模型應用的重要風險，也指出人眼不可見的內容仍可能被模型解析。來源：OWASP LLM01
重點不只在文字是否隱藏，更在系統把它當成什麼。文件裡的一句要求，應該被當成文件內容閱讀；如果模型把它升格成修改任務、存取其他資料或操作工具的授權，才跨越了應維持的界線。
可見文字同樣可能包含這類要求。反過來，隱藏文字也可能只是正常編輯內容，不應單憑隱藏設定判定惡意。顯示狀態與指令意圖是兩個維度；判讀時需要看來源、上下文及系統後續行為。
用一個無害案例串起整個流程
假設有一份練習文件，頁面寫著「本週會議摘要」，另有一段設定為隱藏的無害標記「測試標記甲」。這是本文設計的示意案例，沒有植入攻擊內容，也沒有宣稱實際執行過。
第一步是文件本身保存了兩段內容。第二步是 Word 依顯示設定，可能只把其中一段呈現在畫面上。第三步是文字擷取工具讀取檔案，依自己的處理規則決定是否輸出測試標記。第四步才是模型收到擷取結果，執行摘要任務。
如果標記出現在擷取文字中，只能說明這個工具在這個案例讀到了它，不能證明所有工具都有相同行為。如果標記沒有出現，也只能描述這次的擷取結果，不能推論系統已能抵擋所有提示注入。
這個案例還沒有涉及任何外部操作。真正的風險會隨工具能力改變：只產生摘要的系統，和能寄信、修改檔案或發布內容的代理，其錯誤後果不同。需要檢查的不只是模型說了什麼，也包括後續工具是否接受了不該接受的操作要求。
防線要對應資料流與權限
OWASP 的建議包含限制權限、辨識並隔離外部資料、檢查輸入輸出，以及在高風險操作前保留人類確認。這些措施應分配到流程中的具體位置，而不是只加一句「忽略惡意指令」就視為完成。來源：OWASP 緩解建議
讀取階段應保留來源標示，讓文件文字不會與使用者指示混在一起。產出階段應核對摘要有沒有偏離原任務，或者憑空要求額外操作。工具執行階段則只授予必要權限；需要發布時，由具備相應授權的人或流程確認具體內容與目的地。
以文章後台為例，讀文件的 Agent 可以整理素材，但不因此取得發布文章的權限。這是把能力拆開的設計建議，不能單靠角色名稱證明防線有效；仍須檢查實際的工具權限與伺服器驗證。
一個能檢查理解的小練習
選一份沒有個資或機密的測試文件，用無害標記比較三份紀錄：一般顯示畫面、顯示隱藏內容後的畫面，以及你實際使用的工具擷取結果。記下應用程式與工具版本，觀察差異，不加入任何要求執行外部動作的文字。
練習後應能回答：「這次差異出現在檔案內容、畫面呈現，還是文字擷取？」若只能回答「AI 好像看到了別的字」，就還需要追查中間步驟。這個練習用來理解內容流動，不能取代安全驗證；但它能幫你避免把肉眼看到的頁面，誤當成模型收到的完整輸入。
原始來源與資料日期
Word 看不到的字，為何仍可能進入 AI 的閱讀內容 · 2026-10-23。發布確認不代表獨立事實查核。