Microsoftは、Microsoft Defender for Office 365に新たな検知レイヤーを追加しました。この機能は、受信メールに潜むプロンプトインジェクション攻撃を検知しブロックするもので、そうしたコンテンツがユーザーの受信トレイやMicrosoft 365 CopilotのようなAIアシスタントに届く前に処理します。
Microsoftによると、この機能はフィッシングやマルウェア、ビジネスメール詐欺(BEC)を既に監視しているメールフロー検査パイプラインの内部で動作します。そのため、追加の設定を行うことなく、企業は自動的にこの保護機能の恩恵を受けられます。
企業がメールの仕分けや要約、返信にAIアシスタントを導入するようになるにつれ、攻撃者の標的は人間の読み手から、その人間の代わりにメールを読み込む言語モデルへとシフトしています。
プロンプトインジェクションは、メッセージの本文や件名、引用返信、添付ファイル、あるいは隠されたマークアップの中に攻撃者が用意した指示を埋め込み、AIの本来のタスクを上書きしようとする手法です。
これは、緊急性や欺瞞によって人間を操ろうとする従来型のフィッシングとは根本的に異なります。プロンプトインジェクションは、モデルが指示として解釈してしまう自然言語のコマンドを利用するのです。
脅威アクターは、人間には気づかれにくいがモデルには処理されてしまう場所に指示を隠します。具体的には、白地に白文字やサイズ0のフォント、画面外に配置されたHTML/CSSコンテンツ、転送された返信チェーンの中に埋め込まれた指示、添付ファイルやドキュメントのメタデータに仕込まれたペイロード、そしてキーワードフィルタを回避するためのBase64やUnicodeによる難読化などが挙げられます。
攻撃が成功すると、アシスタントが機密性の高いメールボックスの内容を漏洩させたり、悪意のあるメールを安全なものと誤分類したり、誤解を招く要約を生成したり、自動化されたワークフローの中で意図しない動作を引き起こしたりする恐れがあります。
Defender for Office 365は、大規模言語モデルによる分類と、既存の送信者・メッセージシグナルを組み合わせることで、目に見える本文だけでなく、AIアシスタントが実際に受け取る形でメッセージ全体を評価します。
Microsoftによれば、この評価にはHTMLマークアップやスタイル設定、隠された・見えないテキスト、引用や転送されたスレッドの内容、そして分析前に正規化されるエンコード済み・難読化されたセグメントも含まれます。
検知されたメッセージは、既存の「High Confidence Phishing(高確度フィッシング)」判定の下に、新たな検知技術の値である「Prompt injection protection」として分類されます。この値はThreat Explorer、リアルタイム検知、Advanced Huntingでフィルタリング可能です。
Microsoft 365 Copilotには既に、入力フィルタリング、ユーザーコンテンツとシステム指示の厳格な分離、グラウンディング境界、出力フィルタリングといったランタイム保護機能が備わっています。
Defender for Office 365は、配信前にメールチャネル自体を検査するという、より早い段階での独立したレイヤーを追加するものです。そのため、後にどのアシスタントやアドイン、自動化ツールがメールボックスを読み込むかに関わらず、保護が適用されます。
セキュリティチームは、Defender XDR内でプロンプトインジェクションのアラートを、リスクのあるユーザーやセッション、Copilotのアクティビティとさらに関連付けることができます。これには、より深いハンティングのためにCloudAppEventsテーブルに表示されるUPIAおよびXPIAの指標も含まれます。
SOCの調査における死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/microsoft-defender-blocks-email-prompt-injection-attacks/