あるセキュリティ研究者が、Microsoft Copilot for Wordを悪用して、自己増殖型のプロンプト挿入型「AIワーム」を拡散させる方法を実証した。この攻撃は、文書を密かに改変し、新たに作成されたファイルに独自の隠し命令を埋め込むことで、マクロや従来のマルウェアを使用せずに、通常の文書共有ワークフローを通じて拡散することを可能にする。
この手法を用いると、攻撃者はJSON形式のプロンプトをWord文書内に白い背景に白いテキストとして隠すことができます。ユーザーがCopilot for Wordにその文書に基づいてコンテンツの作成や編集を依頼すると、Copilotは書式設定を削除し、隠されたテキストを読み取り、埋め込まれた指示をユーザーのリクエストの一部として処理します。
Copilotはアクティブなドキュメントを改変し、悪意のあるプロンプト全文を隠しテキストとして追加します。こうして作成された新しいドキュメントが新たな感染経路となります。その後、このドキュメントをCopilotのソース素材として使用すると、同様の動作がトリガーされ、プロンプトの挿入がさらに多くのドキュメントに拡散します。ドキュメントは正規のユーザーによって作成および編集されるため、攻撃の追跡は困難です。
マイクロソフトがGPT-5.5および5.6モデルへのアップグレードを含む複数の対策を講じた後でも、研究者はワームの完全な連鎖を再現することができた。
本稿執筆時点では、同様の大規模言語モデル（LLM）ベースの製品において、この種の広範な攻撃に対する完全な対策は存在しない。これは、現在のLLMシステムのアーキテクチャ上の弱点として特徴づけられる。すなわち、攻撃者が制御するコンテンツが、信頼できる命令と同じコンテキストウィンドウを共有しているという点である。この挙動を悪用する攻撃はプロンプトインジェクション攻撃として知られており、今後も修正されない可能性がある。
安全に過ごすには
組織外から入手した文書は信頼できないものとして扱ってください。特に、それらの文書をCopilot for Wordで使用する予定がある場合はなおさらです。
添付された文書は、Copilotのソース素材として使用する前に必ず確認してください。また、Copilotで生成または編集された文書は、共有または再利用する前に慎重に検証してください。
Copilotを使用しない場合は、無効にすることができます。
Malwarebytes ユーザーは、 [ツール] > [システム調整] > [その他]から Copilot をオフにすることができます。
またはWord自体で：
WordにCopilotをインストールしたくない個人ユーザー向け：
- Word を開いて、 ファイル > オプション > 副操縦士 そしてクリアする コパイロットを有効にする チェックボックスをオンにしてから、Wordを再起動してください。
- Word のバージョンによっては、この設定は「ファイル」 ＞ 「オプション」 ＞ 「全般」の「Copilot」セクションに表示されます。どちらの場合も、重要なのは「Copilot を有効にする」のチェックを外すことです。
リボンを右クリックしてカスタマイズダイアログを開き、「コパイロット/アシスタンス」ボタンを見つけて削除することで、リボンからコパイロットアイコンを削除することもできます。
あるいは、以下の手順に従って、コパイロットの役割を制限することもできます。
- Wordで、 [ファイル] > [アカウント] > [アカウントのPrivacy > [設定の管理] の順に選択し、[オプションの接続済みエクスペリエンスを有効にする] のチェックを外します。これにより、クラウドを利用したAI機能の一部が制限され、これらのサービスに依存するCopilot関連機能も利用できなくなります。
- Microsoft 365 管理センターで、 [Copilot] > [設定]の下にある[Microsoft 365 Copilot チャットをピン留めする] を[Microsoft 365 アプリで Copilot チャットをピン留めしない]に設定して、Word などのアプリでチャット ペインがデフォルトで表示されないようにします。
これはCopilotを完全に削除したり、これらの攻撃を阻止したりするものではありませんが、その可視性を低下させ、クラウドを利用した一部の機能を制限します。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、ヘッドラインを超えて広がるべきではありません。今すぐMalwarebytes ダウンロードして、デバイスに脅威を持ち込まないようにしましょう。
