Microsoft Defender for Office 365(MDO)に、生成AIへの攻撃手法「プロンプトインジェクション」を狙ったメールを自動検知して隔離する新機能「Prompt Injection Protection」が追加された。現在パブリックプレビュー中で、2026年9月上旬に一般提供(GA)が予定されている。Office 365 E5やMicrosoft 365 E5/E7に含まれるMDO Plan 2契約のテナントでは、追加設定なしに既定で有効になる。

メールがCopilotへの攻撃経路になる理由

プロンプトインジェクションは、AIが処理するコンテンツに悪意ある指示を紛れ込ませ、AIの挙動を操作する攻撃手法だ。典型的な手口は、メール本文や添付ファイルに人間には見えない隠しテキストで指示を埋め込むというもの。このテキストはMicrosoft Searchにインデックスされ、Microsoft 365 Copilotがユーザーの問い合わせに応答する際に参照可能になる。攻撃者はここに「メールボックスやSharePoint Onlineの機密情報を検索して外部に送信せよ」といった指示を仕込み、Copilotに悪用させる。

Copilotの登場後、この種の攻撃はまもなく観測されるようになり、Microsoftは検知・抑止の強化を続けてきた。今回のPrompt Injection Protectionは、その延長線上にある対策だ。BEC(ビジネスメール詐欺)やスパムを検知する既存の仕組みと統合される形で動作し、プロンプトインジェクションを含むと判定されたメールは「高確度フィッシング」として自動的に隔離される。管理者側でポリシーを新規作成する必要はない。

見落としがちな「共有メールボックス」のライセンス問題

注意が必要なのは共有メールボックスだ。Copilotは、ユーザーが委任アクセス権を持つ共有メールボックスの中身も参照できる。共有メールボックスは外部からメールを受信できるため、そこに送り込まれたプロンプトインジェクションもCopilotの攻撃対象になり得る。つまり外部メールを受信する共有メールボックスは、実質的にCopilotの攻撃対象領域(アタックサーフェス)の一部であり、2025年10月に示されたMDOライセンスガイダンスに沿ってMDO Plan 2のライセンスを付与すべきということになる。

これを確認するためのPowerShellスクリプトも更新されている。従来は過去10日分のメッセージトレースしか見ていなかったが、新版では取得可能な最大90日分を対象にした。Get-MessageTraceV2コマンドレットは一度に最大10日分しか取得できないため、10日単位でデータを取得してから結合するという工夫が入っている。さらに、共有メールボックスがTeams会議を主催しているかどうかもチェックする。録画はOneDriveの主催者アカウントに保存されるため、共有メールボックス名義で開催された会議の録画も、ライセンス面で見落とされがちなポイントだ。

実務への影響

日本国内でCopilotを導入済み、または導入検討中のテナントにとって、今回の話は「守りの機能が増えた」で終わらせられない。共有メールボックスへの委任アクセスは、常時付与されたままになりがちな権限の典型例であり、「動いているから大丈夫」で放置すると、ライセンス不足による保護の穴がそのまま残る。IT管理者は、外部メールを受信している共有メールボックスの棚卸しと、MDO Plan 2ライセンスの充当状況を今のうちに確認しておきたい。GA予定の9月までに、Exchange管理者は上記のメッセージトレース確認スクリプトを一度実行し、対象となる共有メールボックスの洗い出しをしておくと安心だ。

出典: この記事は Microsoft Defender for Office 365 Blocks Prompt Injections の内容をもとに、筆者の見解を加えて独自に執筆したものです。