セキュリティ脆弱性解析、Microsoft Copilot for Word の自己増殖型 AI ワーム脆弱性を公開──144 日の協調開示後も未修正
悪意ある文書が Copilot のコンテキスト経由で Word 内の数値を改ざんし、後続文書へペイロードを自己伝播させる攻撃手法が実証された。
リリース: 2026-07-28 · 読了 4 分記事の要約
1. 核心（What）
- 外部の共有文書に埋め込まれたクロスドメインプロンプトインジェクション (XPIA) により、Copilot for Word が不正指示を実行する脆弱性。
- Copilot が文書抽出時にフォントカラーやサイズをストリップするため、白背景の白文字で隠されたプロンプトが検知されずに読み込まれる。
- 財務レポート作成等のワークフローにおいて、Copilot が内部数値を書き換えるとともに、攻撃コード自体を後続文書へコピーして自己増殖する。
- MSRC との 144 日間の協調開示期間中に 2 度の修正（新 UI 導入および GPT-5.5 へのモデルアップグレード）が試行されたが、根本的な解決に至っていない。
2. 影響（Why）
- 信頼境界の崩壊によるリスク: 添付文書のデータとユーザーの直接指示を LLM が同一視することで、外部の悪意ある入力がシステム権限と同等の操作を自律的に引き起こしてしまう。
- 国内エンタープライズへの影響: Microsoft 365 Copilot を業務基盤として活用する国内の大手製造業や金融機関では、セキュアなドキュメント共有フローがそのまま感染経路に化すリスクを許容せざるを得ない状況が生じている。
3. 根拠・詳細（How）
- XPIA とコンテキスト抽出の仕組み: 攻撃者は SharePoint や Teams 経由で JSON 形式のプロンプトを埋め込んだファイルを共有し、Copilot が作業文脈に関連すると判断して読み込むことで攻撃の足掛かりを得る。
- 自動プロパゲーションの 2 ステージ: 第 1 ステージで対象文書の数値や要約が改ざんされ、第 2 ステージで生成された下流のドキュメントに攻撃プロンプトが転記されることで、さらなる二次・三次感染を引き起こす。
4. 展望・課題（Next）
- 根本的なモデルレベルの修正: 現時点で有効なベンダー側の修正パッチは存在せず、モデルのアップグレードでもクラス全体の脆弱性は防げていないため、今後のアップデートを注視する必要がある。