Wordを介してAIワームが広がる

セキュリティ研究者のHåkon Måløy氏は、Microsoft Word文書に対するプロンプトインジェクション攻撃を完全な自己複製ワームにアップグレードする新たな亜種を発見した。攻撃者は文書中に隠し命令を埋め込み、その文書が後でCopilot for Wordのソース資料として使用されると、Copilotはその命令をユーザーのリクエストの一部として解釈し、編集・起草中の文書を操作する可能性がある。さらにCopilotは隠し命令を生成された文書にコピーし、その文書を新たなキャリアとする。このキャリアが別のCopilot支援ワークフローで使用されると、命令は再びトリガーされ、攻撃者の元の文書がなくてもさらなる文書に伝播する。これまでは白地に白の隠しテキストは数多く見られてきたが、自己複製のために意図的に命令をコピーするものはこれが初めてである。この脆弱性は責任を持ってマイクロソフトに開示され、同社は修正に144日間を費やしたが、今のところこの攻撃クラス全体をカバーする緩和策は存在しない。

この新しい攻撃は、AIアシスタントがユーザーの入力を信頼する特性を悪用し、一見正常な文書に悪意のある命令を隠すものである。従来のプロンプトインジェクションと異なり、自己複製能力が重要な革新である。感染した文書自体が新たな伝播媒体となるため、一度感染が広がれば、攻撃者の元の文書がなくても複数の組織やユーザーの間で拡散する可能性がある。マイクロソフトのCopilotが広く展開されていることを考慮すると、このワームは大規模なセキュリティインシデントを引き起こす恐れがある。例えば、攻撃者はCopilotに文書を開かせた際に、自動的に外部サーバーに悪意のあるコンテンツを送信したり、他の文書をさらに改変するよう命令することができる。

マイクロソフトは報告を受けて144日間にわたり修正に取り組んだが、完全な解決策はいまだ見つかっていない。その理由の一部は、この攻撃がCopilotのコア機能、つまり文書内のコンテンツを信頼して実行するという性質を利用しているためである。完全に防ぐためには、Copilotが文書からの命令を実行する方法を変更するか、より厳格な権限制御を追加する必要があるかもしれない。しかし、そうするとユーザー体験や機能に影響が出る可能性がある。セキュリティ専門家は、信頼できないソースからのWord文書を処理する際には細心の注意を払い、Copilotの自動処理機能を無効にするよう推奨している。また、企業は従業員が怪しい文書を開かないようにセキュリティトレーニングを強化すべきである。この研究は、AIシステムのセキュリティには継続的な注意と革新的な防御方法が必要であることを改めて示している。