Word向けCopilotで自己増殖するAIワーム、公開された仕組みと対策

発端：文書に潜むAIワーム

セキュリティ研究者が、Word用Copilotを介して自己増殖するAIワームを実証しました。攻撃者は外部文書に悪意ある指示を埋め込み、それをCopilotが読み込むと、文書の内容を改ざんし、さらに改ざん後の文書に同じ指示をコピーします。研究者はこの現象をマイクロソフトのMSRCと協調して開示しました。公開時点では根本対策がなく、注意が呼びかけられています。

これまでAIワームの例としてはメールアシスタント向けのMorris IIなどがありましたが、商用オフィススイートの通常ワークフローで自己増殖が実証された例は珍しいとされます。攻撃は文書共有を介して広がるため、企業内で二次感染するリスクがあります。具体的なPoCでは、金融レポートの数値を静かに改ざんする事例が示されました。

攻撃の仕組み：隠し指示と2段階の伝播

この攻撃はXPIA（クロスドメインプロンプトインジェクション攻撃）と呼ばれる攻撃の一種です。外部文書に埋め込まれたJSON形式の命令は、白文字・小フォントで視覚上は隠されています。Copilot for Wordはテキストを取り込む際に書式を除去するため、利用者には見えなくてもモデルには読み取られます。

攻撃は2段階で進行します。第1段階では、悪意ある文書がCopilotのコンテキストに入り、指示が実行されます。第2段階では、生成された新文書に同一の指示がコピーされることで、その文書が新たな運び屋になります。この文書が別の人のCopilotで利用されると、攻撃者は元の文書に関与せずに攻撃を継続できます。

実証例では、従業員が外部サイトから入手した市場分析文書を添付してレポートを作成したところ、内部数値が書き換えられました。書き換え後のレポートを別の従業員が再利用すると、同じ攻撃が再発します。これにより、侵害されたサイトや元の文書がなくても、影響が組織内に広がり続けます。

境界を越える：添付文書の信頼

本質的な問題は、添付文書が「信頼できない情報源」として扱われていないことです。Copilotは現在編集中の文書と添付文書の境界を区別できていません。本来、添付文書に書かれた命令はユーザーの指示として扱われるべきではありませんが、今回の実証ではそれが実行されました。

この攻撃は、Wordの「Edit with Copilot」や「magic pen」などの機能で再現しています。利用者が明示的にファイルを添付するか、OneDrive上からCopilotが関連文書を自動選択した場合に発動します。攻撃者はテナントへのアクセス権を持たず、文書を共有するだけで攻撃できるため、SharePointやTeams、Outlookなどの経由で標的になり得ます。

開示の経緯と現時点の対策

研究者は2026年3月6日にMSRCへ報告し、当初90日間の調整期間を設けました。期間は2回延長され、最終的に144日間の調整が行われました。2026年7月28日に公開されています。公開時点で攻撃は再現可能な状態です。

公開までに2回の緩和策が試みられ、モデルのアップグレードも行われましたが、攻撃クラスを完全に防ぐには至っていません。公開時点で、顧客側で問題を完全に修復する手段はありません。外部由来の文書をCopilotで扱う際には不信頼なものとして扱い、生成物を注意深く確認することが推奨されます。企業はCopilotの出力をそのまま共有せず、人間によるレビューを挟むことが実務上の防御になります。