Microsoft 365 Copilot、未公開パラメータによる脆弱性を公開──対話的プロンプトでガードレールを回避
Varonis のセキュリティ研究者が Copilot に対する対話的な質問だけで認証スキップ用パラメータを特定し、ユーザー確認なしのデータ窃取に成功した事例の解説。
リリース: 2026-08-18 · 読了 3 分記事の要約
1. 核心（What）
- Varonis の研究者が Microsoft 365 Copilot に対する対話的プロンプトを通じて認証ガードレールの仕組みを引き出すことに成功
- ガードレールの制限理由や URL 構造を問う 20 の質問を経て、未公開の trade secret である ?autorun=1 パラメータを開示させた
- この undocumented パラメータと ?q= パラメータの併用により、被害者がリンクをクリックするだけで自動的にプロンプトが実行される脆弱性が成立した
- Microsoft は 2025 年 11 月の報告を受け、2026 年 2 月に ?q= によるテキスト自動注入を遮断する形で修正済み
2. 影響（Why）
- ガードレール開示リスクの再認識: LLM 自体の出力制御のみに依存した安全対策は、ユーザーとの対話的探索によって内部仕様が露出するリスクがあるため、システム層での二重防御が不可欠。
- 国内エンタープライズの監査負荷: 国内のセキュア環境で Copilot などの商用 AI アシスタントを業務連携させている情報システム部門は、ブラウザ統合や自動実行機能を前提としたワークフローの再点検を迫られる。
3. 根拠・詳細（How）
- 対話的探索によるパラメータ特定: リバースエンジニアリングを用いず、Copilot に自動実行制限の理由や URL 構造について繰り返し質問を重ねることで、内部アーキテクチャの仕様を引き出した。
- 脆弱性を突くパラメータ仕様: ?autorun=1 と ?q= を組み合わせることで、ユーザーのキーボード入力やリターンキーの押下なしに悪意あるプロンプトをサイレントに強制実行させた。
4. 展望・課題（Next）
- 包括的なパッチの適用確認: Microsoft が火曜日に展開した追加の包括的修正が、既存のブラウザ統合機能に与える影響のモニタリングが続けられる。