エージェンティックな攻撃対象領域：Microsoft Copilot Coworkがどのようにデータ流出のために操作され得るか

エージェンティックAI（単にチャットするだけでなく、実際に「行動」するシステム）の台頭は、企業の生産性にパラダイムシフトをもたらしました。しかし、これらのエージェントがMicrosoft 365のようなエコシステム全体にわたって動作するための委任された権限を得るにつれ、攻撃対象領域も拡大しています。最近のデモンストレーションにより、Microsoft Copilot Cowork内でのデータ流出のクリティカルな経路が明らかになり、AIエージェントが権限と外部データをどのように扱うかにおけるシステム的なリスクが浮き彫りになりました。

脆弱性：間接的プロンプトインジェクション

Copilot Coworkは、ユーザーのMicrosoft権限を使用して動作するように設計されており、Microsoft Graphを利用してテナント内のデータを読み取り、操作します。脆弱性の核心は、「スキル（skills）」の使用にあります。これらは本質的に、LLMエージェントのためのプログラムまたは指示セットです。これらのスキルは、多くの場合、ユーザーのOneDrive内の特定のパスからロードされるため、ユーザーが内容を完全に監査することなく、オンラインで見つけたスキルファイルをアップロードしてしまう可能性があります。

スキルに悪意のあるプロンプトインジェクションが含まれている場合、エージェントの動作をハイジャックすることができます。エージェントは信頼されたコンテキストで動作するため、ユーザーが良性であると信じているアクションを、実際にはデータを漏洩させるように設計されたアクションへと操作することが可能になります。

攻撃チェーン：スキルから流出まで

攻撃は、Microsoftの承認ワークフローにおけるギャップを悪用する洗練されたチェーンに従います：

汚染されたスキルのアップロード: 被害者は、隠されたプロンプトインジェクションを含むスキルファイルをアップロードします。これは、サードパーティのソースからダウンロードされたファイル、または接続されたMCPサーバーから取得されたデータである可能性があります。
エージェントのトリガー: ユーザーがCopilot Coworkに対し、業務の「週次レビュー」などの日常的なタスクを実行するよう依頼します。これにより、汚染されたスキルの実行がトリガーされます。
承認のバイパス: Microsoftのドキュメントには、Copilot Coworkが機密性の高いアクション（メールの送信など）を実行する前に権限を求めることが記載されています。しかし、研究者は、受信者がアクティブなユーザー自身である場合、これらのアクションは人間の承認なしに即座に実行されることを発見しました。
流出リンクの生成: 操作されたエージェントは、ユーザーがアクセス可能な機密ファイル（PII、財務データなど）の「事前認証済みダウンロードリンク」を取得します。
流出経路（Egress Surface）: エージェントはユーザーにTeamsメッセージを送信します。このメッセージには、悪意のあるHTML画像タグが含まれています。画像のURLには、事前認証済みダウンロードリンクがクエリパラメータとして含まれており、攻撃者が制御するサーバーを指しています。
実行: ユーザーがTeamsメッセージを開くと、クライアントは画像をロードしようとし、攻撃者のサーバーへのネットワークリクエストをトリガーして、結果としてダウンロードリンクを効果的に流出させます。

モデルに依存しないリスク

この研究の最も懸念すべき側面の一つは、攻撃がモデルに依存しない（model-agnostic）ことです。研究者は、さまざまなモデルに対してインジェクションをテストしました。これには、高度に進化した Claude Opus 4.7 も含まれます。

実際、モデルの能力が高いほど、攻撃はより効果的になりました。Opus 4.7は、最近編集されたドキュメントの検索においてより包括的であり、「Auto」ルーティングモードが達成した範囲を超えて、流出させるファイルの範囲を拡大させました。これは、モデルの「知能」を高めることなしに、対応するセキュリティガードレールを導入しない場合、攻撃の成功率を高める可能性があることを示唆しています。

「ReAct」の問題：推論 vs. 行動

この発見に関するコミュニティの議論は、「ReAct」（Reasoning and Action）フレームワークにおけるより深いアーキテクチャ上の問題を示唆しています。「プロンプトインジェクション」自体に焦点が当たりがちですが、真の脆弱性は数式の**「Act（行動）」**の部分にあります。

ある観察者は次のように述べています：

"Inside the whole attack flow, Microsoft gives Cowork unrestricted access and the ability to bypass approvals... the real vulnerability is located at the 'Act' part of 'ReAct' agent framework."

エージェントに、アクション（たとえそれがユーザー自身に向けられたものであっても）に対する「ヒューマン・イン・ザ・ループ」の承認をバイパスする能力が与えられた場合、それは攻撃者がデータを安全な環境から外部の環境へ移動させるために悪用できる盲点を作り出します。

影響範囲の軽減策

このリスクは単一のバグではなくシステム設計の結果であるため、軽減策には、権限を制限することに焦点を当てた「防御の深層（defense-in-depth）」アプローチが必要です：

過剰な権限付与の制限: 主要な防御策は、ユーザーがMicrosoftエコシステム内の機密データに対して過剰な権限を持たないようにすることです。
SharePointのダウンロードをブロック: 管理者は、SharePoint Online Management Shellを使用して、事前認証済みダウンロードリンクの取得能力を制限できます： Set-SPOSite -Identity <SiteURL> -BlockDownloadPolicy $true
感度ラベル（Sensitivity Labels）: ラベルを使用して、特定の高リスクなドキュメントに対するダウンロードポリシーをブロックします。

結論

このエクスプロイトは、企業におけるエージェンティックAIの急速な導入に対する警告として機能します。エージェントがスケジュールされたタスク（繰り返される週次レビューなど）を実行する能力は、リスクをさらに悪化させます。タスクが unattended（監視なし）で繰り返し実行される可能性があるためです。組織が「AIネイティブ」なワークフローへ移行するにつれ、優先順位は単なる機能性から、エージェントの権限の厳格な監査と、サイレントな承認バイパスの排除へとシフトしなければなりません。