脅威アクターがCopilotインスタンスをだまし、その内部アーキテクチャの詳細を引き出せることが分かりました。これにより、新種のプロンプトインジェクション攻撃への道が開かれることになります。
これはVaronis Threat Labsによるもので、同社は本日、「CoSnitch」と総称する一連のセキュリティ問題に関する新たな調査結果を公開しました。ブログの執筆者であり上級セキュリティ研究者を務めるLior Adar氏によると、Varonis Threat LabsはMicrosoft CopilotのPersonalインスタンスをソーシャルエンジニアリング的手法で操り、重要なセキュリティ関連情報を引き出したといいます。最終的にこの手法により、Varonisが説明する一連の脆弱性の連鎖が明らかになりました。これにはメモリポイズニング、特別に細工されたURLによる自動プロンプト実行、そしてデータ窃取が含まれます。Adar氏はCoSnitchのこの要素を「メタハッキング」と表現しています。
Varonisは2025年12月にCoSnitchをMicrosoftに報告し、両社間の協調的な情報開示プロセスを経て、8月18日にパッチが提供されました。Varonisによれば、この攻撃が実際に悪用された形跡は確認されていません。
Microsoftの広報担当者はDark Readingの取材に対し、顧客側での対応は不要であり、企業向け顧客はCoSnitchの影響を受けていないと説明しています(影響を受けたのはCopilot Personalのみです)。さらにMicrosoftはこの問題にCVE-2026-24301を割り当てました。これはCopilotに関連する情報漏えいの脆弱性で、CVSS 3.1で8.8と評価されています。
「協調的な脆弱性開示を通じてこの問題を報告してくれたVaronis Threat Labsに感謝します。当社の顧客はすでに保護されており、対応の必要はありません」と同広報担当者はDark Readingへの声明で述べています。「私たちは同様の手法に対する防御力を強化するため、継続的にガードレールを更新しています」
メタハッキングとCoSnitchの仕組み
Varonisの研究者たちはまず、ユーザーの直接的な操作なしにプロンプトを実行する方法についてCopilotに質問することから調査を始めました。このチャットボットは、プロンプトの実行にはユーザーの意図が必要であると繰り返し説明しましたが、その過程で自らの挙動に関する技術的な詳細を漏らしてしまいました。研究者たちはURL構造やディープリンク、プロンプト処理に関する一見無害な質問を次々と投げかけることで、Copilotのアーキテクチャの一部を徐々に把握し、攻撃経路となりうるものを特定していきました。
Varonisのブログ記事によると、Copilotはプロンプトの実行にはユーザーの意図が必要であると繰り返し説明しましたが、その過程で自らの挙動に関する技術的な詳細を漏らしてしまいました。研究者たちはこれらのパラメータを組み合わせて特別に細工したリンクを作成し、それ以上のユーザー操作なしにMicrosoftの既存のガードレールを回避できることを突き止めました。それは一見普通のCopilotリンク(copilot dot Microsoft dot com)の後ろに「/?q=<malicious_prompt>&autorun=1*」を付け加えたものです。
Varonisによると、Microsoftによる修正が行われる前は、文書化されていない「?autorun=1」パラメータをクエリパラメータと組み合わせることで、Copilotに埋め込まれたプロンプトを自動的に実行させることが可能でした。
攻撃者はこのリンクを被害者に送りつけます。被害者がクリックすると、埋め込まれたコマンドが被害者の認証済みセッション内で動作し、Gmail、Google Drive、Google Calendar、Copilotのメモリ、Copilotのチャット履歴といった連携サービスから情報を取得できるようになります。単純なデータ窃取に加え、悪意あるプロンプトは永続的なメモリポイズニングを引き起こしたり、偵察活動に利用されたり、(今後のプロンプトに影響を与えるための)偽情報の注入や、その他の悪意ある行為に使われたりする可能性もあります。
あらゆるAIアシスタントは特権を持つ内部関係者
CoSnitchが可能にするデータ窃取やメモリポイズニングの側面も注目に値しますが、この調査で最も新しいのはメタハッキングの要素です。これは、プロンプトインジェクション攻撃が今なお現在進行形の問題であることを改めて思い起こさせるものです。
Adar氏はDark Readingの取材に対し、この問題はすでにMicrosoftによって対処されたものの、今後を見据えるとメタハッキングが攻撃連鎖の中で最も懸念すべき要素であり続けると語っています。Varonisの研究者はCopilotに話しかけただけで「Copilotの方から鍵を差し出してきた」と同氏は述べています。
この問題が従来の意味では企業向け顧客に影響を及ぼさなかったとしても、これらの「パーソナル」向け製品が企業データと連携していた可能性は十分にあり、潜在的な被害範囲は大きく広がることになります。
「私たちが発見した具体的な脆弱性がPersonal版に存在するのは事実です。しかし、Copilot Personalを使っている人物は、月曜の朝にあなたのオフィスへ出社してくる本人と同じ人物なのです」とAdar氏は説明します。「会社のメールを個人のGmailに転送していたり、認証情報を個人アカウントで共有していたり、業務文書を個人のDriveに保存していたりするかもしれません。ですから、CoSnitchが個人の受信トレイからデータを窃取するとき、そこで引き出される情報はしばしば企業データそのものなのです。個人アカウントから盗まれたパスワードが、企業テナントへの足がかりになってしまいます」
ただし同氏は、これはMicrosoftだけの問題ではないとも付け加えています。広範なデータアクセス、ユーザーの意図を前提とする設計、そして命令とデータの間に区別がないというパターンは、さまざまなベンダーや製品にわたって繰り返し現れ続けています。
「企業で使われるあらゆるAIアシスタントは、セキュリティ意識を持たない特権的な内部関係者であり、そのように扱うべきです」とAdar氏は述べています。「コネクタを監査し、アクセス権を最小限に抑え、正規のプロンプトと注入されたプロンプトの間の信頼境界はいずれ破られるものだと想定してください」
翻訳元: https://www.darkreading.com/vulnerabilities-threats/cosnitch-attack-copilot-mapping-out-architecture
