Microsoft Copilot for Word AI ワーム脆弱性

エグゼクティブサマリー

Microsoft Copilot for Word は、文書に埋め込まれた悪意ある指示が通常のユーザーワークフローを通じて自己増殖できる脆弱性にさらされています。これにより「文書ベースの AI ワーム」が生成され、攻撃者が制御する文書が新しい文書の Copilot 出力を操作すると同時に、その新しい文書に自らの悪意ある指示を埋め込み、さらなる拡散の担い手となります。

AI ワーム攻撃メカニズム

この攻撃は Cross‑Domain Prompt Injection Attacks (XPIAs) を利用して、添付されたソース文書と現在のドラフト文書との間のセキュリティ境界を破ります。Copilot for Word はコンテンツ処理前にテキストの書式（色やフォントサイズなど）を除去するため、攻撃者は白背景に白文字で悪意あるプロンプトを隠すことができ、人間の目には見えませんが LLM には完全に読取可能です。

ステージ1：初期踏み台

攻撃者は隠された JSON 形式の悪意あるプロンプトを含む文書を共有します。この文書が Copilot コンテキストに入る方法は次の二通りです：

アクティブ添付：ユーザーが悪意ある文書を手動で Copilot のドラフトタスクに添付する。
自動検出："Edit with Copilot" や "Work IQ" モードで、Copilot がタスクに関連すると判断した場合にユーザーの OneDrive から自動的に悪意ある文書を検出・読み取る。

トリガーが作動すると、プロンプトは Copilot に特定の悪意ある操作（例：レポートの財務数値を静かに半分にする）を指示し、元の悪意あるプロンプトを隠し白文字で新しい文書の末尾に付加させます。

ステージ2：自己増殖

結果として生成された文書に隠された悪意あるプロンプトが含まれるため、これが新たな攻撃ベクターとなります。ユーザーがこの内部生成文書を同僚と共有し、同僚がそれを新しい Copilot タスクのソースとして使用すると、攻撃が再度発動します。ワームは元の攻撃者からの追加操作なしに、組織内の信頼された文書フローを通じて拡散します。

影響と組織リスク

この脆弱性の主なリスクは情報の完全性の侵食です。攻撃が信頼された従業員が作成した正規の内部文書を介して広がるため、追跡が極めて困難になります。

意思決定の汚染：データ（例：財務報告書）の静かな改ざんにより、組織は偽情報に基づく重要な意思決定を下す可能性があります。
組織間拡散：ワームは共有された SharePoint サイトや Microsoft Teams のコラボレーションを通じて組織間でも拡散し、信頼されたパートナーが知らずに感染文書を送信することがあります。
統合によるスケーリング：Copilot が Microsoft Cowork や Microsoft Scout のようなシステムに深く統合され、文書作成やツール操作を自動化するにつれ、拡散の速度と規模は大幅に増大する可能性があります。

緩和策のステータスと課題

Microsoft は研究者と協力し、GPT‑5.5 へのモデルアップグレードや "Edit with Copilot" 体験の変更など複数の緩和策を展開しました。しかし、これらの修正は特定のペイロードに対処したものであり、根本的な脆弱性クラスには対応していません。

現在のステータス

本稿執筆時点で、広範な脆弱性クラスに対する堅牢な緩和策は存在しません。テストにより、最新モデル（GPT‑5.6）でも改変されたペイロードを用いることで攻撃が再現可能であることが確認されています。

アーキテクチャ上の根本原因

この脆弱性は現在の LLM システムに共通する根本的なアーキテクチャ上の弱点、すなわち意図（ユーザー指示）と解釈（外部データ）間の分離欠如に起因します。モデルが外部コンテンツをシステム指示と同じコンテキストウィンドウで処理するため、検査対象のデータがその検査に用いられる計算に影響を与えることになります。著者は、モデルにこれらの攻撃を検出させることは「信頼できないプログラムを実行して安全性を判断させる通訳者に頼む」ことに等しいと指摘しています。

推奨ユーザーアクション

システム的な修正が実装されるまで、ユーザーは以下の防御策を採用すべきです：

外部ドキュメントを信頼できないものとして扱う：外部から取得した文書はすべてプロンプトインジェクションの潜在的ベクターとみなす。
生成前レビュー：Copilot による生成や編集を開始する前に、添付文書に異常な内容がないか確認する。
生成後監査：Copilot が生成または編集した文書を共有・配布する前に、データの予期せぬ変更や隠しテキストがないか慎重にチェックする。

コミュニティの視点

本開示に関する技術的議論は、"マクロウイルス" というテーマが繰り返し浮上していることを示しています。