文書に潜むAIワームがCopilot for Wordを介して自己増殖する可能性

コンテキスト・コラプス、パート3 - Wordを介したAIワーム化 コンテキスト・コラプス、パート3 - Wordを介したAIワーム化 この技術分析と開示された脆弱性への対策について、Microsoftの製品チームおよびMicrosoft Security Response Center（MSRC）と協力できたことに感謝いたします。以下に反映された編集上の意見は、執筆者のみのものであり、私が協力した組織の見解を必ずしも反映するものではありません。 概要 本投稿で説明されている発見は、MSRCおよびMicrosoft製品チームとの協調開示の一部です。Microsoftには、テスト中に使用された再現手順、ビデオ、環境上の仮定、および正確な概念実証（PoC）プロンプトが提供されました。開示前の90日間の協調期間についても通知されていました。この期間は2回延長され、結果として144日間の協調期間となりました。 このシリーズのパート1とパート2では、外部からの入力がCopilotの応答にどのように影響を与え、場合によってはクロスドメインプロンプトインジェクション攻撃（XPIA）を通じて機密性への影響をもたらす可能性があるかを示しました。本レポートはそれらの発見に基づいており、XPIA分析を単一インタラクションの侵害から、信頼された文書ワークフローを横断する伝播へと拡張します。攻撃者が制御する指示が1つの文書に含まれている場合、それがCopilotによって生成または編集されたWord文書にコピーされ、それらの下流の文書が同じ攻撃の新たなキャリアとなることを示しています。 AIワームの以前の例は存在します。特に、Morris IIはGenAI搭載の電子メールアシスタントエコシステムにおける自己複製プロンプト伝播を実証しました。しかし、私の知る限り、これは主流の商用生産性スイートにおける通常のワークフローを介した、文書由来のAIワームの自己伝播の最初の公開デモンストレーションの1つです。 報告されたシナリオは次のとおりです。 外部共有された文書に隠された悪意のある指示が、CopilotにWordで作成中または編集中の文書を変更させ、攻撃を新しい文書に伝播させる可能性があります。 完全な攻撃の概要 攻撃 攻撃者は、後にCopilot for Wordでソース資料として使用される文書に隠された指示を配置します。Copilotはその指示をユーザーのリクエストの一部として解釈し、作成中または編集中の文書を操作する可能性があります。Copilotはその後、隠された指示を結果の文書にコピーし、その文書を新しいキャリアに変える可能性があります。キャリアが後続のCopilot支援ワークフローで使用された場合、指示は再度トリガーされ、攻撃者の元の文書が存在しなくても、さらなる文書に伝播する可能性があります。 例 従業員が財務レポートを作成しているとします。従業員は、文書に隠された指示が含まれていることに気づかずに、侵害された信頼できるウェブサイトから市場分析をダウンロードします。その後、従業員はその分析をCopilotを使用してレポートを作成する際にソース資料として含めます。隠された指示により、Copilotは財務レポートの内部数値を変更し、攻撃を新しい文書にコピーします。従業員は、明らかに正規のレポートを保存して社内で共有します。後で、同僚がそれを別のレポートのソース資料として使用します。指示は再度トリガーされ、新しいレポートを変更し、それ自体を転送します。したがって、攻撃は、侵害されたウェブサイトまたは元の悪意のある文書のさらなる関与なしに継続できます。影響を受けたレポートが再利用されるにつれて、追加のレポートや文書が攻撃のキャリアになる可能性があります。 公開時の開示状況 ベンダー: Microsoft 協調開示: MSRCおよびMicrosoft製品チームを通じて対応 本投稿に含まれるもの: Microsoft Copilot for WordにおけるXPIAおよび自己伝播シナリオ 顧客による対応: 公開時点では、顧客側の修正で問題を完全に解決できるものはありません。顧客は以下によってリスクを軽減できます。 Copilotで使用する際に、外部ソースの文書を信頼できないものとして扱う。 Copilotでの生成または編集を開始する前に、添付された文書を確認する。 Copilotで生成または編集された文書を再利用、共有、または配布する前に、注意深く確認する。 Microsoft側の状況: 現在展開されているすべての緩和策を適用した状態で、テストにより攻撃が再現されました。公開時点では、より広範な脆弱性クラスに対する堅牢な緩和策は利用できません。 修正前の開示に関する注意 パート1およびパート2とは異なり、このシナリオは公開時点でも悪用可能です。私はその点を慎重に検討しました。Microsoftと合意した協調期間は終了しており、テストでは、より広範な脆弱性クラスに対する堅牢な緩和策が現在利用できないことが示されています。モデルのアップグレードを含む2回の緩和策の試みでは、このクラスの脆弱性は解消されませんでした。 したがって、ペイロードレベルではなく、クラスレベルでの開示を選択しました。私の理由は、防御者は自分が知らないリスクに曝露を軽減できないこと、そしてここで説明されている伝播メカニズムは、多くの組織がすでに依存している通常の文書ワークフローに影響を与えるからです。問題の存在を隠すことは、それらの組織に情報に基づいた意思決定を行う能力を与えず、追加の保護を提供しないことになります。 開示タイムライン 2026年3月6日: 再現手順、ビデオ、環境上の仮定、およびPoCプロンプトとともに、MSRCに初期レポートを提出。 2026年3月9日: MSRCが受領を確認し、ケースを開設。 2026年3月31日: Microsoftが報告された動作を確認。 2026年3月31日: Microsoft製品チームが緩和策の作業を開始。技術的な議論が進行中。 2026年4月3日: 最初の緩和策が本番稼働（新しい「Edit with Copilot」エクスペリエンス）。 2026年4月9日: 「Edit with Copilot」で元の攻撃プロンプトの文言が緩和されたことを確認。 2026年4月9日: 新しいXPIAプロンプトタスク（財務操作）を使用して、「Edit with Copilot」で攻撃動作を再現。MSRCに別途ケースとして報告。 2026年4月10日: MSRCが受領を確認し、ケースを開設。 2026年4月10日: Microsoft製品チームが緩和策の作業を開始。技術的な議論が進行中。 2026年6月8日: Microsoftの要請により、公開開示を2026年7月15日に延期。 2026年7月14日: 2回目の緩和策修正が本番稼働。この緩和策は、基盤となるモデルをGPT-5.5にアップグレードすることから成る。 2026年7月15日: 公開時点で利用可能な最新モデルであるGPT-5.6を使用して、ワーム化を伴うエクスプロイトの再現に成功。 2026年7月15日: 新しい緩和策のための時間を確保するため、公開をさらに2週間、2026年7月28日まで延期することを提案。 2026年7月15日: Microsoftが同意。 2026年7月28日: 攻撃は依然として再現可能。 2026年7月28日: 協調公開開示（本投稿）。 脅威モデル 攻撃者は、被害者のMicrosoft 365テナントにアクセスする必要はありません。攻撃者は、悪意のある文書を被害者と共有するだけで済みます。これは、SharePoint、Teams、Outlook、またはその他の文書共有方法を通じて行うことができます。 セキュリティ境界と観測された動作 このシナリオにおける関連するセキュリティ境界は、添付文書と現在の作成文書との間の境界です。添付文書のいずれかにXPIAが含まれている場合、攻撃がトリガーされる可能性があります。 Copilotは、現在の作成タスクに含める部分を決定するために、すべての添付文書を読む必要があります。しかし、添付文書は、信頼できるユーザー指示ではなく、信頼できない情報として扱われるべきです。 境界違反 攻撃者が制御する文書は、電子メール/SharePoint/その他の共有オプションを介してダウンロードまたは共有されます。そのような文書が作成タスク中にCopilotに添付された場合、信頼が破られます。 期待される動作 ユーザーがCopilotに、添付文書に基づいて例えば第1四半期の財務レポートを作成するように依頼した場合、Copilotは、文書に埋め込まれた指示を権威ある指示として扱わずに、添付文書の情報を使用するはずです。 観測された動作 文書に埋め込まれた指示により、Copilotの動作が変更されます。ここでは次のように提示されています。 1: Copilotが財務レポートの数値をサイレントに変更する 2: CopilotがXPIA全体を下流の文書に貼り付けることで伝播させ、それらの文書が後続の作成セッションで添付ファイルとして使用される可能性がある Wordにおける信頼境界の交差 これらのシナリオにおける最初の攻撃ベクトルは、悪意のある文書を使用します。Th