8月7日、SiliconANGLEが「AI sandbox escape uncovered in Microsoft Copilot flaw」と題した記事を公開した。Microsoft CopilotのAIサンドボックス脱出脆弱性をRubrik Zero Labsが発見し、Black Hat USA 2026で発表した内容が報告されている。

AIが「新種の攻撃手法」を生み出した証拠

セキュリティ研究者たちはここ1年、AIが既存の攻撃を加速させる事例を追ってきた。より根本的な問いは、「AIはこれまで存在しなかった攻撃手法を生み出せるか」だ。今回の発見は、その答えが「イエス」であることを示す事例の一つとなった。

AIサンドボックス脱出（AI sandbox escape）とは、AIアシスタントを閉じ込めるために設計された隔離環境をアタッカーが突破する手法を指す。この手法は、近年注目されるプロンプトインジェクション攻撃の発展系とも位置づけられる。プロンプトインジェクションとは、AIモデルへの入力に悪意ある指示を埋め込み、本来の動作を逸脱させる攻撃手法であり、外部データや他ユーザーのコンテンツ経由で指示を注入する「間接プロンプトインジェクション」として企業環境で特に警戒されている。今回の脆弱性はその延長線上にあり、単なるモデルの誤動作にとどまらず、背後のクラウドインフラへの横断的な到達を可能にする点で一線を画している。

Microsoft Copilotで何が起きたか

データセキュリティ企業Rubrik Inc.の脅威研究部門「Zero Labs」を率いるJoe Hladik氏が、今回の脆弱性を発見した。Rubrik Zero Labsはバックアップデータを研究の主軸に置いており、他の研究者がほとんど目を向けないこのデータソースから有効な脅威インテリジェンスを引き出してきた。

「バックアップデータを見ている人間はほとんどいない。そこに実際に活用できるインテリジェンスがあると気づいた」（Joe Hladik氏）

今回の調査は、Fortune 500企業の約90%、約2000万人が利用するMicrosoft Copilotに焦点を当てたものだ。

脆弱性は2026年2月に発見された。Rubrik Zero LabsはMicrosoftに責任ある開示（Responsible Disclosure）を行い、3月中旬までにパッチが適用された。Black Hat USA 2026では研究者のOri Lahav氏が詳細な調査結果を発表している。

脆弱性の影響範囲と攻撃チェーンの構造

この脆弱性は、Copilotのサンドボックスを突破してAzureのバックエンドに到達するものだ。攻撃の連鎖としては、まず悪意ある入力やコンテンツを通じてCopilotのサンドボックス内で任意の操作を誘発し、そこから本来アクセスできないはずのAzureバックエンドへ横断的に到達するという経路が想定される。これにより、テナント内のSharePointやOneDriveに格納されたファイル群へのコマンド＆コントロール（C2）が可能になるとされている。Hladik氏はその影響範囲をこう表現した。

「テナント内のユーザーファイル、SharePointファイル、OneDriveなど、存在するデータの量次第で、数百から数千、あるいはそれ以上のファイルへのコマンド＆コントロールが可能になる。これは非常に重大な発見だ」

今回の脆弱性そのものはパッチで修正済みだが、Hladik氏はサンドボックスを脱出してAzureバックエンドへ到達するという手法自体は、他のAIコパイロットにも適用できる可能性があると指摘している。類似の研究としては、LLMエージェントのサンドボックス脱出を体系的に分析した先行研究もBlack Hat USA 2026の場で複数報告されており、今回の発見はその流れに位置づけられる。

AIエージェントの可視性という構造的問題

今回の発見が示すのは、単一の脆弱性だけではない。Rubrik Zero Labsの調査によれば、**セキュリティリーダーのうち自社環境で稼働中のAIエージェントを完全に把握できているのはわずか23%**にとどまる。

Hladik氏はAIエージェントの本質をこう言い切る。

「エージェントはモデルを持つボットに過ぎない。モデルに問いかけ、モデルが指示を返し、それに従って動く。新しくてクールだが、私はこれを以前にも見たことがある」

この発言は、AIエージェントを「未知の存在」として過度に神秘化することなく、既存のボット・自動化ツールと同じセキュリティの枠組みで管理すべきだという主張だ。引用の前後の文脈として重要なのは、Hladik氏がAIエージェントの「新しさ」よりも「可視性の欠如」こそが真のリスクだと見ている点である。

この可視性の欠如に対応するため、Rubrikは今週、AIエージェントのガバナンスツールを新たに公開している。AIエージェントが企業インフラへの統合を深める中、「エージェントが何をしているか見えていない」という状態自体がリスクになる。今回の事例はそれを具体的な形で示した。

詳細はAI sandbox escape uncovered in Microsoft Copilot flawを参照していただきたい。