Wordワームが Copilot に侵入、混乱を拡散

security

研究者によれば、Microsoftとの数カ月に及ぶ協議にもかかわらず、堅牢な対策はいまだ生まれていない

信頼できない文書には要注意です。ある研究によると、攻撃者はWord文書に悪意ある指示を隠しておくことができます。その文書がCopilot for Wordのコンテキストに読み込まれると、文書の出力内容が改変されるだけでなく、その文書を素材として新たに作成されたファイルにも指示がコピーされてしまう可能性があり、被害者はそれに気づくことができません。

応用AI・機械学習分野で博士号を持つノルウェーのデータサイエンティスト、ホーコン・モーロイ氏は、火曜日に公開したブログ記事でこの問題を公表しました。モーロイ氏は具体的なプロンプトのペイロードは伏せたうえで、この問題をかなり詳細に説明しています。堅牢な対策が存在しない以上、脆弱性の種類を超えた情報を開示するのは無責任だという考えからです。

「私の知る限り、これは主流の商用生産性スイートにおいて、通常のワークフローを通じて文書媒介型のAIワームが自己増殖することを公に示した最初期の事例の一つです」とモーロイ氏は述べています。

モーロイ氏は2026年3月からMicrosoftとこの脆弱性への対応に取り組んできたとしていますが、Copilotが複数回アップデートされた後も、この新種のCopilotワームは依然として有効だといいます。Microsoftは同氏が最初に作成した概念実証プロンプトによるエクスプロイトには対策を施しましたが、モーロイ氏によれば、ペイロードの文言を変更することでワームの伝播に再び成功し、対象文書の財務データを改変できたとのことです。モーロイ氏とMicrosoftは公表を二度延期しましたが、144日が経過した時点で、同氏は報告書の中で「人々に知らせる必要がある」と述べています。

「Microsoftと合意した協議期間はすでに終了しており、テストの結果、より広範な脆弱性クラス全体に対する堅牢な対策は現時点で存在しないことが示されています」とモーロイ氏は書いています。「モデルのアップグレードを含む2度の対策の試みでも、この脆弱性クラスを塞ぐことはできませんでした」

CopilotがWordワームを伝播させる仕組み

モーロイ氏は、会社の財務報告書を作成している従業員を例に、ワームの実行過程を説明しています。

この従業員は、財務報告書の作成をCopilotで進めるにあたり、信頼できるとされるウェブサイトから市場分析資料をダウンロードします。しかしその情報源はすでに侵害されており、ダウンロードした文書には悪意ある指示が隠されていることに従業員は気づきません。この隠された指示(概念実証では小さな白文字として挿入されています)は、従業員が生成する報告書の数値を改変し、そのワーム自体をCopilotで作成する報告書にコピーするようCopilotに命じます。

その後、別の従業員がこの報告書を自分の作業に取り込むと、同じ工程が再び始まります。そこから生成された文書にもワームが含まれることになり、感染が広がるにつれて発生源を突き止めることが極めて困難になっていきます。

「したがって、この攻撃は侵害されたウェブサイトや最初の悪意ある文書がそれ以上関与しなくても継続できます」とモーロイ氏は述べています。「攻撃者は被害者のMicrosoft 365テナントにアクセスする必要すらありません。攻撃者はただ悪意ある文書を被害者と共有するだけで済むのです」

Copilotは、プロジェクトのためにユーザーがコンテキストに含めた文書内の情報を活用する際、文書に埋め込まれた指示を追加のプロンプトとして扱うべきではないとモーロイ氏は指摘しますが、同氏の研究によれば、実際には必ずしもそうなっていないようです。

根本的な欠陥

モーロイ氏は、自分が発見したのは実質的に新種のクロスドメイン・プロンプトインジェクション攻撃であり、現代のLLMアーキテクチャの根幹部分を悪用するものだと主張しています。

「AIアシスタントが役に立つためには、メール、文書、ウェブページ、記憶、ツールの出力など、攻撃者に操作され得る情報を処理しなければならないことが多々あります」と同研究者は述べています。しかし、LLMが攻撃を含んでいるかどうかを判断するためにデータを処理しなければならないのだとすれば、その攻撃自体がすでにその判断に影響を及ぼしている可能性があります。

「したがって、XPIA(クロスドメイン・プロンプトインジェクション攻撃)の検出をモデルに頼るというのは、あるプログラムが安全に実行できるかどうかを判断するために、通訳者に信頼できないプログラムをそのまま実行させるようなものです」とモーロイ氏は主張しています。

仮にMicrosoftや他の企業が、そのモデルの前段に別のモデルを配置して悪意あるコンテンツをチェックさせたとしても、それは問題を外側にずらすだけだとモーロイ氏は指摘し、「LLMがどこまでも連なっていく」状況を生み出すだけだと述べています。

「長期的な課題は、処理対象の情報から独立して存在する目標や意図をどう設計するかという点にあると考えられます」と同氏は述べています。それが実現するまでは、「今日、信頼されたワークフローにLLMを組み込むいかなるシステムも、攻撃者が制御するコンテンツがモデルのコンテキストに入り込むことで、一定の割合で侵害が発生することを前提にしなければなりません」とモーロイ氏は主張しています。

Copilot利用企業がリスクを減らすためにできることは何でしょうか。Copilotの使用をやめる以外に、できることはあまりありません。

「本記事公開時点で、顧客側の対策だけでこの問題を完全に解決する方法はありません」とモーロイ氏は述べつつも、いくつかの助言を示しています。

外部から入手した文書はCopilotで使用する際、信頼できないものとして扱うこと、Copilotに送る前にすべての文書を必ず確認すること、そしてCopilotが生成・編集した文書は配布する前に必ず内容を確認することを同氏は推奨しています。

やれやれ――そんなふうにいちいち読む羽目になるくらいなら、いっそCopilotを工程から外して自分で考えたほうがましかもしれません。

本誌はモーロイ氏とMicrosoftに問い合わせましたが、公開時点で返答は得られていません。®