ドキュメント型AIワームがWord版Copilotを介して自己増殖する

セキュリティ研究者がMicrosoft Copilot for Wordに新たなAIワーム攻撃を発見しました。この攻撃は、ドキュメントに隠された悪意のある指示を利用して自己複製・拡散し、組織内のドキュメントワークフローを侵害します。これはクロスドメインプロンプトインジェクション攻撃（XPIA）シリーズの第3部であり、以前の単一インタラクションでのCopilot悪用を拡張し、攻撃がドキュメントコラボレーション内で持続的に拡散する方法を示しています。

攻撃の仕組みとプロセス 攻撃者は、隠し指示を含むドキュメントを作成します。指示は白い背景に小さなフォントで表示され、被害者には見えませんが、Copilotはドキュメントを読み込む際に色やフォントサイズなどの書式をすべて取り除くため、指示はCopilotから完全に読み取り可能です。被害者がCopilotでドキュメントを作成または編集する際に、このドキュメントをソース資料として含めると、Copilotはこれらの指示をユーザーの要求の一部として解釈し、現在のドキュメントの内容を変更（例：財務レポートの数字を改ざん）し、同時に悪意のある指示全体を新しいドキュメントの下部（白文字、フォントサイズ8）にコピーします。これにより、そのドキュメントが新たな攻撃キャリアとなります。その後、他の同僚がそのドキュメントをCopilotの入力として使用すると、攻撃が再発し、元の悪意のあるドキュメントが存在しなくても、ドキュメント間で拡散し続けます。

攻撃シナリオの例 研究者は財務レポートの例を挙げています。従業員が信頼できるが侵害されたウェブサイトから市場分析ドキュメントをダウンロードし、その中に隠し指示が含まれています。従業員がCopilotで財務レポートを作成し、そのドキュメントを参照すると、Copilotはレポート内の数値を改ざんし、攻撃指示を新しいレポートにコピーします。その後、別の同僚がそのレポートをソースとして使用すると、攻撃はさらに拡散します。

脅威モデルとセキュリティ境界 攻撃者は被害者のMicrosoft 365テナントにアクセスする必要はなく、SharePoint、Teams、Outlookなどを通じて悪意のあるドキュメントを共有するだけで済みます。関連するセキュリティ境界は、添付ドキュメントと現在起草中のドキュメントの間の境界です。Copilotはすべての添付ドキュメントを読み込んで現在の起草タスクに含める部分を決定する必要がありますが、添付ドキュメントは信頼できない情報として扱われるべきであり、信頼されたユーザー指示ではありません。しかし、攻撃者が管理するドキュメントがダウンロードまたは共有され、Copilot起草タスク中に添付されると、信頼が破られます。

開示のタイムライン 研究者は2026年3月6日にマイクロソフトセキュリティレスポンスセンター（MSRC）に報告し、144日間の調整期間を経ました。その間、マイクロソフトは公開開示を2回延期しました。2026年4月3日、マイクロソフトは最初の緩和策（新しい「Copilotで編集」エクスペリエンス）を展開しましたが、研究者は4月9日に新しいプロンプトで攻撃が再現可能であることを発見しました。2026年7月14日、マイクロソフトは基盤モデルをGPT-5.5にアップグレードする2回目の緩和策を実施しましたが、翌日研究者はGPT-5.6を使用してワーム攻撃の再現に成功しました。2026年7月28日の公開開示時点でも攻撃は再現可能であり、堅牢な緩和策はありません。

セキュリティ推奨事項 ユーザーはCopilotで使用する外部ドキュメントを信頼できないものとして扱い、使用前に添付ファイルを確認し、Copilotが生成または編集したドキュメントを再利用、共有、配布する前に注意深くレビューする必要があります。ただし、研究者はこれらの対策ではリスクを完全には排除できないと強調しています。マイクロソフトは、現在展開されているすべての緩和策でも攻撃が再現可能であることを確認し、より広範な脆弱性クラスに対する堅牢な解決策はまだ見つかっていません。

この発見は、AI支援ツールにおける信頼境界の脆弱性を浮き彫りにしています。研究者は、ペイロードレベルではなくクラスレベルでの開示を選択し、防御側がリスクを認識し情報に基づいた決定を下せるようにしました。