- Wordドキュメント内に白色テキストとして隠された指示によって、Microsoft 365 Copilotが作成中のファイルを密かに改変し、その指示自体を出力先の文書にコピーしてしまう可能性があります
- 汚染された文書はそれ自体が感染源となり、通常の社内ワークフローを通じて拡散します。元の悪意ある文書がなくても広がり、マクロやマルウェア、コード実行も一切必要ありません
- マイクロソフトはモデルのアップグレードを含む2つの緩和策を144日間の開示プロセスの中で提供しましたが、研究者は依然としてこの攻撃を再現できています
あるセキュリティ研究者が、Wordドキュメント内に隠された指示によって、Microsoft 365 Copilotが作成中のファイルを密かに改変し、さらにその指示を完成した文書にそのままコピーしてしまうことを示す概念実証(PoC)を公開しました。これにより、その文書を次に使う人も感染の媒介者になってしまいます。
応用機械学習の博士号を持つデータサイエンティスト、Håkon Måløy氏は、Microsoft Security Response Centerとの144日間にわたる協調的な情報開示プロセスを経て、Context Collapseシリーズの第3弾としてこの手法を公表しました。
修正が完了する前にこの件を報告するのは、マイクロソフトが複数回対策を講じたにもかかわらず、依然としてこの手法が有効であるためです。同氏は、この脆弱性クラス全体に対する強固な緩和策は現時点で存在しないと指摘しています。
Copilotのテキスト処理方式を突いた巧妙な攻撃
この攻撃の根底にあるのは、クロスドメイン・プロンプトインジェクション(XPIA)と呼ばれる手法群です。攻撃者は自然言語で指示を記述した上で、白背景に白文字・小さいフォントサイズという体裁に整え、そのファイルを共有します。
Word用Copilotは基礎となる言語モデルにテキストを渡す前に書式を取り除くため、モデルは人間には見えないテキストを読み取ってしまいます。これはユーザーが意図的に開いていない文書でも起こり得ます。攻撃は、ユーザーが手動で文書をCopilotに添付した場合だけでなく、Copilotが「Work IQ」モードでユーザーのOneDrive内を検索して関連文書を探す際に、悪意ある文書を自ら見つけてしまった場合にも発動します。
この攻撃が他のエクスプロイトよりも危険なのは、伝播性という重要な要素があるためです。Måløy氏のPoCに含まれる隠しプロンプトは2つの部分から成っていました。1つ目はCopilotに対し、作成中の文書を改変するよう指示するもので、同氏のデモでは四半期報告書内のすべての財務数値を半分に書き換えさせています。
2つ目は、そのプロンプト自体を新しい文書にコピーして隠すようCopilotに指示するもので、これは「出典の追跡」や「読みやすさのための書式設定」といった無害な体裁を装っていました。Copilotはこの両方を実行し、白文字で指示を追記しましたが、ユーザーにはいずれの動作についても一切知らせませんでした。
今回の開示タイムラインは、この報告の中でも特に気になる部分です。Måløy氏は2026年3月6日にMSRCへ報告しました。マイクロソフトは3月31日にこの挙動を確認し、4月上旬には「Edit with Copilot」機能を刷新した最初の緩和策を提供、これにより同氏の当初のプロンプト文言はブロックされるようになりました。しかし同氏はその同じ週のうちに別の文言でこの攻撃を再現し、2件目のケースが開設されました。
2回目の修正は7月14日に行われ、基礎モデルをGPT-5.5にアップグレードするという内容でした。Måløy氏は翌日にGPT-5.6を使ってこれを突破し、その後マイクロソフトに対し、さらなる緩和策を試みる猶予として自主的に2週間の延長を提案しました。それでもこの脆弱性クラスは開示日の時点でなお再現可能であり、修正作業は進んでいるものの、このエクスプロイトは依然として実行可能な状態にあることを示しています。
根本的な解決策を欠く複雑な問題
この問題はマイクロソフトワードにとどまりません。AIアシスタントは、信頼できないコンテンツを取り込んだうえで、それが正当なものか悪意あるものかを判断しなければなりません。しかし、そのコンテンツはシステムプロンプトやユーザーの実際のリクエストと同じコンテキストウィンドウに入り込むため、モデルがそのテキストが攻撃かどうかを評価する時点で、すでに攻撃者側のトークンがその評価自体に影響を及ぼしてしまっているのです。
Måløy氏の言葉を借りれば、「検査対象のコンテンツそのものが、検査という行為に関与してしまっている」ということです。
マイクロソフトはThe Registerへの声明で、この調査結果を確認済みであるとしましたが、完全な修正に向けた具体的な時期については言及を避けました。
「私たちは、研究者から報告された調査結果に対応済みであり、協調的な脆弱性開示プロセスを通じて協力いただいたことに感謝しています」と同社は述べています。
「このリスクの種類に対処するため、私たちは複数の段階で悪意ある指示をブロックする多層防御戦略を採用し、タスクがユーザーの要求に沿った形で保たれるよう支援しています。テクノロジーと脅威の状況が進化するのに合わせて、これらの防御策を継続的に強化しています。お客様には、最新の更新プログラムを導入し、複数層のセキュリティ保護を活用し、出所不明のコンテンツには注意を払い、AIが生成したコンテンツは利用・共有する前に確認していただくようお願いします」
Måløy氏が推奨しているのは、Copilotを利用する際には外部から入手した文書を信頼できないものとして扱うこと、AIによる文書作成を始める前に添付ファイルを確認すること、そしてCopilotの出力を共有・再利用する前に入念に確認することです。
同氏はまた、生成される文書に、参照元の資料やモデルによる編集内容を記録した来歴メタデータを付与すべきだとも提案しています。これはインジェクション自体を防ぐものではありませんが、事後的に感染経路を追跡できるようにするものです。
Copilotが人間の監視をあまり伴わずに文書を作成・操作するエージェント型製品へとさらに広がっていく中で、こうしたエクスプロイトがワークフロー(そしてユーザー)に与えうる影響の範囲は、狭まるどころかむしろ拡大していくと見られ、完全な解決策はいまだ見通せていません。
