Copilot for Word(Microsoft 365 Copilot)に、Word文書へ仕込んだ悪意ある指示が生成文書に自己複製し、次々と感染を広げる「ワーム」型の攻撃が成立することが、ノルウェーのデータサイエンティストHåkon Måløy氏の検証で明らかになった。Måløy氏は2026年3月からMicrosoftと5カ月間にわたり調整してきたが、根本的な緩和策は現時点でも提供されていないとして、7月29日にブログで詳細を公開した。

Copilotが「自己増殖ワーム」化する仕組み

Måløy氏が示したシナリオはこうだ。ある社員が、財務レポート作成のためにWebサイトから市場分析資料をダウンロードし、Copilot for Wordのコンテキストに読み込ませる。その資料はすでに改ざんされており、白抜き文字などで視認しづらい形で悪意ある指示が埋め込まれている。Copilotはその指示を「参照すべき情報」ではなく「実行すべき追加のプロンプト」として解釈し、生成するレポートの数値を書き換えると同時に、埋め込まれた指示自体を新しい文書にもコピーしてしまう。

この新しい文書を別の社員が自分の作業に取り込むと、同じ改ざんと複製が再び起きる。攻撃者は被害者のMicrosoft 365テナントにアクセスする必要すらなく、悪意ある文書を共有するだけで感染を広げられる。Måløy氏は当初のPoCについてMicrosoftから緩和を受けたが、プロンプトの言い回しを変えるだけで再びワームを成立させ、対象文書の財務データを書き換えることに成功したという。「モデルのアップグレードを含む2回の緩和策も、この脆弱性クラス自体を閉じるには至らなかった」と報告書は述べている。

なぜCopilotだけの問題ではないのか

Måløy氏はこれを、LLMアーキテクチャの根本に起因する「クロスドメイン・プロンプトインジェクション」の一種と位置づける。AIアシスタントが実用的であるためには、メール・文書・Webページ・ツール出力など、攻撃者が細工しうる情報を処理せざるを得ない。しかし、ある入力が攻撃かどうかをモデル自身に判定させようとすると、その判定処理自体がすでに攻撃の影響下にあるという構造的なジレンマがある。Måløy氏は「モデルにXPIAの検知を任せるのは、信頼できないプログラムを実行させてそれが攻撃かどうか通訳者に判断させるようなものだ」と表現している。これはCopilotに限らず、外部由来のコンテンツを扱うAIアシスタント全般が抱える課題である。

実務への影響 — 日本のIT管理者・エンジニアが今すぐ確認すべきこと

日本企業でもCopilot for Word/Excelの導入が急速に進んでいるが、今回の報告は「外部由来の文書をAIのコンテキストに入れる行為そのものが信頼境界の通過である」ことを改めて突きつける。取引先や公開サイトから受け取った文書は、たとえ見た目が正常でも無条件に信用しない運用が必要だ。具体的には、Copilotで生成した数値や結論をそのまま配布前に人間が照合すること、白抜き文字や不可視要素を含む文書がないかマクロや検査ツールでチェックすること、財務・契約など数値の改ざんが実害に直結する業務ではAI生成物の配布前レビューを必須プロセスとして組み込むことが挙げられる。

ゼロトラストの発想を借りるなら、社内ネットワークの中にいるかどうかではなく「その文書がどこから来たか」を常に検証対象とする運用に近い。AIアシスタントを介した文書のやり取りも、認証・認可の枠組みと同様に「信頼できないものを持ち込む窓口」として扱う意識転換が、今回のような脆弱性クラスへの実質的な備えになる。

出典: この記事は Word worm crawls into Copilot, spreads chaos の内容をもとに、筆者の見解を加えて独自に執筆したものです。