研究者らは、Microsoft Copilotの組み込み安全機構を迂回するデータ窃取手法を発見した。
この攻撃手法「Reprompt」は、Microsoft CopilotがURLパラメータを処理する方法を悪用し、ユーザーの既存のCopilot Personalセッションを乗っ取るものである。
Copilotは、個人アカウントに接続し、統合されるAIアシスタントです。 Windows 、 Edge ブラウザ、および各種消費者向けアプリケーション。
この問題はマイクロソフトの1月のパッチチューズデー更新で修正され、現時点で実環境での悪用事例は確認されていない。それでも、現時点でAIアシスタントを信頼することがいかに危険であるかを改めて示している。
Repromptは、一見正当なCopilot URLのqパラメータ内に悪意のあるプロンプトを隠蔽します。ページが読み込まれると、Copilotはそのプロンプトを自動実行し、攻撃者がフィッシングリンクを1回クリックするだけで、被害者の認証済みセッション内でアクションを実行できるようにします。
つまり、攻撃者はコパイロットリンクのウェブアドレス内に、ほとんどのユーザーが決して見ない場所に秘密の指示を隠すことができる。コパイロットはその後、それらの隠された指示を、あたかもユーザー自身が直接入力したかのように実行する。
コパイロットはURLパラメータ「q」を介してプロンプトを受け取り自動的に実行するため、フィッシングメールはユーザーを騙して正規に見えるコパイロットリンクをクリックさせると同時に、攻撃者が制御する指示をライブセッションに密かに注入することが可能である。
Repromptが他の類似したプロンプト注入攻撃と一線を画す点は、ユーザー入力によるプロンプトを必要とせず、インストール済みプラグインも、有効化されたコネクタも一切不要であることだ。
リプロンプト攻撃の仕組みは驚くほど単純だ。Copilotは直接的なデータ漏洩を防ぐための安全策を講じているが、これらの保護機能は最初のリクエストにのみ適用される。攻撃者はCopilotに各アクションを2回繰り返すよう指示するだけで、この防護策を迂回することに成功した。
そこから研究者らは次のように指摘した：
最初のプロンプトが実行されると、攻撃者のサーバーは過去の応答に基づいて追跡指示を発行し、継続的なリクエストの連鎖を形成する。この手法により、ユーザーとクライアント側の監視ツールの双方から真の意図が隠蔽され、検知が極めて困難となる。
安全に過ごすには
特にReprompt攻撃から安全を確保するには、2026年1月のパッチチューズデー更新プログラムをインストールしてください。
利用可能であれば、Microsoft 365 Copilot を業務データに使用してください。これは、調査ケースで Copilot Personal では利用できなかった Purview 監査、テナントレベルのデータ損失防止 (DLP)、および管理者制限のメリットがあります。DLP ルールは、クレジットカード番号、ID 番号、健康データなどの機密データを検出し、誰かが危険な方法 (電子メール、OneDrive、 Teams （Power Platformコネクタなど）。
信頼できる情報源に確認する前に、不審なリンクをクリックしないでください。
伝えられるところによると、マイクロソフトは管理対象デバイス上でAI搭載のデジタルアシスタント「Copilot」をIT管理者がアンインストールできる新ポリシーのテストを実施している。
Malwarebytesユーザーは、[ツール] > Privacyで、 Windows Copilotを無効にする]をオン（青色）に切り替えることで、個人用マシンのCopilotを無効にすることができます。
一般的に、AIアシスタントの利用には依然としてプライバシーリスクが伴うことに留意すべきである。URLパラメータ、ページテキスト、メタデータ、コメントなど、信頼できない入力をアシスタントが自動的に取り込み、強力な分離やフィルタリングなしに隠されたシステムプロンプトや指示に統合する手段が存在する限り、ユーザーは個人情報を漏洩するリスクに晒され続ける。
リンク経由、ブラウザ自動化、外部コンテンツで操作可能なAIアシスタントを使用する際は、「リプロンプト現象」が少なくとも発生する可能性があると想定し、考慮に入れるべきである。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
