7月30日、Cyber Insiderが「Microsoft Copilot for Word vulnerable to self-propagating worm-like attack」と題した記事を公開した。白地に白文字で埋め込んだ命令をAIが「実行」し、生成した次のドキュメントにもその命令を自動的に転写する——いわゆるワーム的な自己複製挙動をMicrosoft Copilot for Wordで再現した概念実証（PoC）だ。MicrosoftはPoC報告を受けて当初の攻撃ペイロードへの対処は完了しているが、攻撃クラス全体を封じる包括的な解決策は記事公開時点でも存在しない。
Copilotがワーム的挙動を引き起こす仕組み
セキュリティ研究者のHåkon Måløy氏は、Wordドキュメント内に隠されたプロンプトが、Microsoft Copilot for Wordを通じて別のドキュメントへと伝播するという概念実証（PoC）攻撃を公開した。
攻撃の仕組みはシンプルかつ巧妙だ。攻撃者は白地に白文字で悪意ある指示をWordドキュメントに埋め込む。これは人間の目には完全に見えない。しかしCopilotはドキュメントを処理する際にフォーマットを除去するため、AIモデルはその隠し指示を読み取り、実行してしまう。
被害者がこの文書をCopilotのソース素材として使用するか、あるいはCopilotがOneDriveから関連ファイルとして自動取得した場合、隠しプロンプトがAIの挙動に影響を与える。Måløy氏のデモでは、Copilotが財務レポートの数字を無断で改ざんした上で、隠しプロンプト自体を新たに生成されたドキュメントにもコピーした。そのドキュメントが再びCopilotセッションで使われると、今度はそれが「感染源」となって次の文書を汚染する。元の悪意あるファイルがなくなった後でも攻撃は継続する。
この挙動は、LLMが「信頼できるユーザー指示」と「信頼できないドキュメントコンテンツ」を同一のコンテキストウィンドウ内で処理するという構造的な特性を悪用している。Måløy氏はこの設計上の限界により、プロンプトインジェクションを完全に排除することは極めて困難だと指摘する。
プロンプトインジェクションとは、ユーザーやシステムが意図した指示とは異なる命令をAIに実行させる攻撃手法の総称だ。今回の手法はその派生形として「クロスドメインプロンプトインジェクション攻撃（XPIA）」に分類される。XPIAはメール本文・ドキュメント・Webページといった外部コンテンツにプロンプトを埋め込み、それを読み込んだAIエージェントを操作する手法で、OWASP LLM Top 10においても最重要リスクのひとつに挙げられている。2023年にGPT-4を用いた初期のXPIA実験が公開されて以降、Microsoftのセキュリティブログでも類似の攻撃クラスへの言及が増えている。本研究はMåløy氏がXPIAをテーマに進めてきた研究シリーズの発展形であり、単一セッションへの影響を狙う従来のXPIAが「自己伝播」する形へと進化したことを示している。2023年にはAIワームを主題にしたMorris II研究がArXivに投稿されており、LLMベースのエージェントがワーム的挙動を示しうることは研究コミュニティで以前から議論されてきた文脈がある。
Microsoftは対処したが、根本解決には至らず
Måløy氏は2026年3月6日にMicrosoftへ報告し、144日間の協調開示（coordinated disclosure） を経て今週公開した。Microsoftはこの問題を認識し、複数の緩和策を実装し、Copilotの基盤モデルもアップグレードした。当初のPoCペイロードおよび研究シリーズ前半2パートで指摘された問題はすでに封じられている。しかしMåløy氏によれば、プロンプトを若干変形させることで攻撃クラス全体は依然として再現可能であり、記事公開時点でこのカテゴリの脆弱性に対する包括的な緩和策は存在しないとされている。
プロンプトインジェクションと自己伝播の防止は、単一のセキュリティパッチで解決できる問題ではなく、現時点のLLMベースシステムが抱える未解決の課題だと報告書は結論付けている。
Måløy氏は攻撃に使った具体的なプロンプトの内容は意図的に公開しておらず、完全な修正が出ていない状況でも組織がリスクを認識することが重要だとの立場を取っている。
実務上の対策
現時点でMicrosoft Copilotを業務利用している組織に向けて、Måløy氏は以下を推奨している。
- 外部から受け取ったドキュメントをCopilotと組み合わせて使う際は「信頼できないもの」として扱う。取引先や社外から届いたWordファイルをそのままCopilotのソース素材にすることは、隠しプロンプトを誤って実行させるリスクを高める。信頼境界（trust boundary）を意識した運用ルールの策定が求められる。
- AIが生成・編集したドキュメントは共有前に必ず人間が内容を確認する。Copilotが出力した文書であっても、インジェクション済みプロンプトの影響を受けている可能性がある。レビューを省略したまま次の担当者へ転送することが伝播チェーンを延ばすことになる。
- 財務レポートや法的文書などの重要なコンテンツは、Copilotの出力だけに依存せず変更内容を独立して検証する。今回のデモで示された財務数字の改ざんシナリオは、数値の変化が視覚的に目立ちにくい状況ほど危険であることを示唆している。差分比較ツールや承認フローとの併用が有効だ。
財務数字の改ざんという攻撃シナリオは、業務フローに深く組み込まれたAIアシスタントがいかに信頼の連鎖を破壊しうるかを端的に示している。
詳細はMicrosoft Copilot for Word vulnerable to self-propagating worm-like attackを参照していただきたい。
