- Varonisが、Copilotから機密データを漏えいさせる一連の欠陥「CoSnitch」を発見
- 悪意あるURLと永続的なメモリ汚染を用いてガードレールを回避する手口
- MicrosoftはCVE‑2026‑24301をサーバー側で修正済み、この手法は他のAIモデルにも影響しうる
Microsoft の Copilot AI が、研究者グループにデータ窃取のための悪用方法を自ら教えてしまい、実際にそれが機能してしまいました。単純な手順ではなく、AIが「悪」に転じたわけでもありませんが、いわば騙されやすく、どこかお人好しだったと言えるでしょう。
セキュリティ企業Varonisは、Copilotに発見した脆弱性に関する新たなレポートを公開し、これをCoSnitchと名付けました。
この名称自体が、脆弱性の正体を大きく示唆しています。CoSnitchは3つの脆弱性が連鎖したもので、Microsoftはこれに後日CVE-2026-24301の識別子を割り当て、深刻度スコア8.8/10(高)としたうえでパッチを適用して修正しました。
「騙されはしない、その理由を正確に教えよう」
サイバー犯罪者は以前からAIを攻撃の武器として活用しており、説得力のあるフィッシングメールの作成、悪意あるコードの記述、価値の高い標的の特定などに役立てています。これに対し開発者側は、AIが特定の行為を明確に拒否するようなガードレールを設けることで対応してきました。
今回のレポートでVaronisは、研究者たちがコード内のバグを探したり、既存のエクスプロイトをリバースエンジニアリングしたりしたわけではないと説明しています。彼らはただAIと対話を重ね、質問を重ねるたびにガードレールの仕組みについての理解を深めていきました。この手法は「メタハッキング」と呼ばれています。
Copilotは要求を拒否するたびに、その理由を説明してしまい、結果として自らの動作の仕組みに関する手がかりを研究者たちに与えていました。Varonisが示唆するように、いわばAI自身が自分について「密告」していたわけです。これが最終的に、防御の全体像を把握し、回避方法を見つけ出す手がかりとなりました。
「抵抗すること自体がこの手法の一部なのです」と研究者たちは説明しています。「『それはこういう理由でできません』という返答一つひとつが、その『理由』を掘り下げるための糸口になります。モデルそのものを攻撃するのではなく、協力させるように仕向けるのです」
Copilotとの長い対話の末、研究者たちは意図せずして、クリックされた瞬間に機密データの窃取につながる一連の反応を引き起こすURLの作成方法を教えられてしまいました。
AIを各種アプリに連携させる危険性
こうしてVaronisは、「https://copilot.microsoft.com/?q=&autorun=1*」のようなURLを作成すれば、クリックされた瞬間にCopilotへ任意の悪意あるプロンプトを実行させられることを突き止めました。攻撃者はたとえば、このリンクをフィッシングメールに埋め込み、被害者にクリックさせることで、AIに機密データを攻撃者側のインフラへ送信するよう指示できてしまいます。
ただし、これは課題の半分に過ぎません。この手法だけでは、研究者たちはCopilotとのセッション中に被害者が共有した情報しか窃取できませんでした。
危険性が一気に高まるのは、被害者がAIをGmail、Drive、カレンダーといった各種アプリと連携させた瞬間です。Varonisの説明によれば、悪意あるプロンプトはCopilotに対し、Gmail内のすべてのメールアドレス、メール本文に含まれるパスワードなどの機密情報、Driveフォルダ内のすべての情報、カレンダーに記録されたすべての予定を窃取するよう指示できてしまいます。
CoSnitchの脆弱性連鎖を構成する3つ目の要素は、「Webページ要約機能を通じた永続的メモリ汚染」と呼ばれています。Varonisの説明では、攻撃者は特殊に細工したWebページを用意し、それをCopilotが要約する際に、攻撃者の指示を被害者の永続的なメモリ領域に注入できてしまいます。
「この注入は、パスワード変更、セッションの無効化、デバイスの再登録を経ても消えることなく、永続的に残り続けます」と研究者たちは警告しています。この欠陥は「間接的プロンプトインジェクション」と呼ばれるもので、決して目新しい手法ではありません。以前から確認されている手口であり、AIが「指示」と「分析対象のデータ」を区別できないという根本的な弱点に起因しています。
研究者たちによれば、MicrosoftはCoSnitchの存在について2025年12月に通知を受けていたにもかかわらず、対応したのは2026年8月中旬になってからでした。残念ながら、Microsoftがどのように問題を解消したのかは明らかになっていません。おそらくCopilotに対し、自らのガードレールの仕組みを説明しないよう指示したのではないかと推測されるにとどまります。CoSnitchの正体を踏まえれば、Microsoftが解決策の詳細を伏せているのはむしろ賢明な判断と言えるかもしれません。
幸いにも、Varonisは実際の悪用の証拠を発見しておらず、これまでのところ実際の攻撃に使われた形跡はないようです。修正はサーバー側で適用されたため、ユーザー側で対応すべきことは現時点で何もありません。
これはコード上のバグではないため、他のAIモデルも同様の手法の影響を受ける可能性があると研究者たちは警告しています。「CoSnitchの発見につながった今回の新しいメタハッキング手法、すなわちAI自身の推論を利用してその内部構造を表面化させるという手口は、自然言語インターフェースを持つあらゆるエージェント型プラットフォームに当てはまります」と結論づけ、今後さらに詳しい研究成果を発表していく予定だとしています。
