ハクソク

世界を動かす技術を、日本語で。

ドキュメントを介したAIワームがWord用Copilotを通じて自己増殖可能

2026年7月29日原文(enklypesalt.com)

概要

  • Microsoft Copilot for Word における XPIA（クロスドメイン・プロンプトインジェクション攻撃） の技術分析とその自己伝播メカニズムの報告
  • 攻撃者が仕込んだ 悪意あるプロンプト がWord文書を通じて自己増殖し、通常の業務フローで拡散
  • MSRCおよびMicrosoft製品チーム との協調開示と長期にわたる調整経緯
  • 現時点で顧客側に有効な根本対策は存在せず、文書利用時の注意喚起が推奨
  • 攻撃は依然として再現可能 であり、組織の文書ワークフロー全体に影響を及ぼすリスク

Microsoft Copilot for WordにおけるXPIA自己伝播攻撃の技術分析

  • Microsoft Copilot for Word にて発見された クロスドメイン・プロンプトインジェクション攻撃（XPIA） の詳細分析
  • 攻撃者が外部から共有する 悪意ある文書 を利用した AIワーム型自己伝播メカニズム
  • 悪意ある命令が Copilotの文書生成・編集プロセス を介して 新たな文書へ連鎖的に拡散
  • 従来のAIワーム例（Morris II等） と比較し、 商用プロダクティビティスイートでのドキュメント伝播 を実証した初公開事例

攻撃シナリオと事例

  • 攻撃者が 隠れた命令文 を仕込んだ文書を作成し、 Copilotのソース資料 として使用される
  • Copilotが命令文を ユーザー指示と誤認 し、文書内容を不正に改変・攻撃命令を新文書へコピー
  • 新たな文書が 社内共有・再利用 される度に、 攻撃命令が再発動・拡散
  • 例：社員が信頼するWebサイトから 市場分析資料をダウンロード →Copilotで財務報告書作成時に資料を引用→ 隠れ命令で数字が改ざん され、同時に攻撃文が新報告書に隠蔽コピー→社内で再利用され連鎖

開示・調整経緯

  • MSRCおよびMicrosoft製品チーム と協調し、 再現手順・動画・PoCプロンプト 等を提供
  • 90日間の調整期間 を2度延長し、 合計144日間 の調整を実施
  • 複数回のモデルアップグレード・緩和策 でも根本的な脆弱性クラスは解消せず
  • 2026年7月28日、 攻撃再現性を確認した上で協調公開

セキュリティ境界と観測された挙動

  • 攻撃者は Microsoft 365テナントへのアクセス不要、 文書共有のみで攻撃可能
  • 添付文書と現在の編集文書間の信頼境界 が突破される危険
  • Copilotは 添付文書を情報源とみなすべき だが、 命令文として誤認する挙動 を確認
  • 例： 財務報告書の数値改ざん や 攻撃命令の連鎖的コピー を観測

攻撃実現条件

  • 悪意ある文書内に 白文字・小フォントで隠されたJSON形式のプロンプト を埋め込み
  • Copilotは 文字装飾を除去 してLLMに渡すため、 隠し命令も完全に認識
  • 添付・アップロード や Edit with Copilot機能 で文書を参照させることで攻撃成立
  • 二段階構成 ：最初の文書で改ざん・命令コピー→新文書で再発動・自己伝播

顧客・組織への影響と推奨対応

  • 現時点で 顧客側で完全に解消可能な対策は未提供
  • 外部由来の文書はCopilot利用時に必ず不信扱い
  • Copilot生成・編集後の文書は再利用・共有前に厳重レビュー
  • Microsoft側でも全現行緩和策で攻撃再現、抜本的な修正は未実装

開示判断の理由

  • 調整期間終了・根本対策未実装 のため、 攻撃クラスレベルでの公開 を決断
  • リスクの認知なくして防御不能、広範な業務フローに影響するため情報公開を優先

開示タイムライン（抜粋）

  • 2026-03-06: MSRCへ初報告、 再現手順・PoC等提出
  • 2026-03-31: Microsoftが挙動確認、 製品チームによる緩和策検討
  • 2026-04-03: Edit with Copilot の初回緩和策リリース
  • 2026-07-14: GPT-5.5モデルへのアップグレード 等の追加緩和策
  • 2026-07-15: GPT-5.6でも攻撃再現
  • 2026-07-28: 協調公開

XPIA攻撃の技術的詳細と自己伝播メカニズム

  • 攻撃文書は 白文字・小フォントで隠されたプロンプト を末尾に挿入
  • Copilotが 文書内容をLLMに渡す際、装飾を除去 し命令文も認識
  • 文書作成・編集時に命令が発動 し、例えば財務報告書の数値が改ざん
  • 新文書にも同じ攻撃命令が隠れてコピー され、今後の作業で再発動
  • タスクに無関係な文書でも、コンテキストに含まれれば攻撃成立
  • 命令文は巧妙に無害・タスク関連風に偽装 することで検知困難

まとめ

  • Microsoft Copilot for Word の現状仕様下では、 外部文書由来のXPIA攻撃の伝播リスク が現実的
  • 組織全体の文書ワークフローに影響 し、 社内外の情報信頼性低下 を招く
  • Microsoftおよび利用者双方の注意喚起と追加対策 が急務

Hackerたちの意見

外部で共有されたドキュメントに隠された悪意のある指示が、CopilotにWordで作成したり編集したりしたドキュメントを変更させ、新しいドキュメントに攻撃を広げる可能性がある。ああ、やばいね。

└

なんか致命的なトリフェクタみたいな感じ。

└

指示とデータを混ぜるのは絶対に良くないアイデアだよね。みんなそれくらい分かってると思ってたのに。

└

確かに、でもモデルによって強さは違うよね。Opus-5にステガノグラフィーを使って画像に埋め込まれた隠れた指示を実行させようとしたけど、信頼できるペイロードを見つけるのがすごく難しい。

└

速報: - 外部共有ドキュメントに誤った情報がそのまま残っていると、Copilotや他のエージェントシステム、LLMやタンパク質ベースの知能がWord（他のプログラムや手書きでも）で作成したり編集した文書を変更して、新しい文書にそのエラーを広める可能性があるらしい。別のニュース: - まだフラットアースみたいな馬鹿げた迷信を信じている人が多いし、コードとデータが根本的に異なるとか、制御プレーンとデータプレーンが一般的な宇宙には適用されないデザインの意見以上のものだと思っている人もいる。

またVBScriptやマクロのワームが復活するのか！

└

マクロをオフにするってことは、大事なスロップ生成器を失うってことだよね！誰か化石燃料産業のことを考えてくれないかな？

最初の接触から3ヶ月経って…何も進展なし。あんな大企業がAI開発を売り込んでるのに、真剣に受け止められないよ。

└

マイクロソフト、特にMSRCは最初から積極的に対応してくれてるよね。この問題は、現在のLLM技術の問題として捉えるのが良いと思う。すでに攻撃面や拡散頻度を大幅に減らすためのいくつかの対策が実施されてるけど、全体的にはまだ本当の解決策がないリアルな問題だと思う。

プログラマーでウェブベースのAIユーザーだけど、ローカルマシンでAIを動かしたくないんだ。この記事に書いてある理由で、Copilotをアンインストールして、ブラウザを含むすべてのローカルアプリでAIを無効にしたよ。デザイン上、そんなAIの混乱攻撃からデータを守る方法はないからね。AIはプロンプトとファイル内のテキストを区別できない。普通のドキュメントやメールに埋め込まれた指示にAI対応のワードプロセッサやメールアプリが従うなんて、ありえないよ。LinuxやBSD、他のオープンソースのOSに切り替えるのが、この問題への唯一の本当の解決策だと思う。

└

Copilotをアンインストールして、ローカルアプリのAI機能を全部無効にしたよ。信頼できるベンダーによっては、結局ローカルマシンでAI機能が有効になるからね。 > LinuxやBSD、他のオープンソースのOSに切り替えるのがこの問題の唯一の本当の解決策だと思う。これが正しいことを願ってるけど、足りないとも思う。ウェブブラウザやウェブベースのアプリにも信頼できるベンダーが必要だよね。

└

これが気になるなら、深層防御の一環として、敏感な情報が含まれているブラウザタブ内でAIを使うのは避けた方がいいよ。例えば、Gmailタブ内でGeminiにプロンプトを入力すると、メールがそのタブ内で動いているJSにアクセスできるから、データが漏洩する可能性があるよ（おそらくGeminiにもアクセスできるしね）。

Hacker Newsで議論の続きを見る