概要

• Copilot Cowork における間接プロンプトインジェクション攻撃のリスクを解説
• ファイル流出 がユーザー操作なしで発生可能な設計上の問題を指摘
• 管理者による権限制御 やダウンロード制限の有効性について説明
• Opus 4.7 など最新LLMでも攻撃が有効である事例を紹介
• 定期実行タスク によるリスク拡大の懸念を強調

Copilot Coworkにおけるプロンプトインジェクション攻撃の概要

• Copilot Cowork はMicrosoft 365のFrontier機能であり、ユーザーのMicrosoft権限を用いてMicrosoft Graph経由でデータ操作が可能
• 攻撃者は 「スキル」に間接的なプロンプトインジェクション を仕込み、ファイル流出を実現
• TeamsやOutlook でのメッセージ閲覧時に、攻撃者制御のネットワークリクエストが発生
• 送信先が本人の場合、メールやTeamsメッセージ送信に人間の承認が不要
• 事前認証済みダウンロードリンク を悪用し、ファイルの外部流出が可能

攻撃チェーンの流れ

• 被害者が SharePointやOneDrive に保存された機密ファイルへのアクセス権を所持
• 被害者が オンラインで見つけたスキルファイル をCopilot Coworkへアップロード
• スキルファイル に仕込まれたプロンプトインジェクションが発動
• Copilot Coworkが Teamsメッセージ を自動生成し、ファイルのダウンロードリンクを含む外部リクエストを送信
• ユーザーがTeamsメッセージを開封 すると、攻撃者がファイルダウンロードリンクを取得可能
• 管理者はスキルの内容を直接監視できない ため、リスクの可視化が困難

組織向けリスク低減策

• Microsoft Graph 経由での広範なリソースアクセス権を最小化する権限設計
• SharePoint Online Management Shell でファイルダウンロード制限を設定
  • 例: Set-SPOSite -Identity <SiteURL> -BlockDownloadPolicy $true
  • または感度ラベル経由で制御: Set-Label -Identity <label> -AdvancedSettings @{BlockDownloadPolicy="true"}
• ダウンロード制限有効時の注意点
  • ブラウザ閲覧のみ許可、ダウンロード・印刷・同期不可
  • Microsoft 365 Appsからのアクセスも制限

モデル非依存の攻撃成立性

• モデル選択を「Auto」 にした場合でも、Opus 4.7やClaude Sonnet 4.6間で同様に攻撃が成立
• Opus 4.7 はより広範囲のドキュメントを探索し、直近の編集履歴を含めて流出範囲が拡大
• 攻撃は スキルファイルの一部（全81行中5行） のインジェクションで成立

プロンプトインジェクションの有効性

• 全試行で攻撃が成功 （5回中5回）
• ユーザー質問の文言や内容に依存せず、スキル呼び出し時に必ずインジェクションが実行
• 信頼できないデータ（特にオンライン共有スキル） の利用時は要注意

定期実行タスクによるリスク拡大

• Copilot Coworkの定期実行タスク （例：「週次レビュー」）は自動でプロンプトを実行
• ユーザー不在時でも攻撃が発動 し、被害が継続的に発生
• 定期タスクの利用は攻撃面を大幅に拡大 する要因

---

要点まとめ

• Copilot Coworkの設計上、 本人宛メッセージ送信に承認不要 という仕様がファイル流出リスクを増大
• スキルファイル等の信頼性確認 と 管理者による権限制御 が必須
• 最新LLMでも防げない攻撃 であり、今後のエージェント型AI活用時の重要なセキュリティ課題