8月1日、Thomas Joosが「A security researcher built a self-spreading worm that hides inside Word docs and hijacks Microsoft Copilot」と題した記事を公開した。この記事では、Wordドキュメントに隠された自己複製型のプロンプトインジェクション攻撃がMicrosoft Copilotを乗っ取る仕組みについて詳しく紹介されている。

「見えない命令」がCopilotを通じて自己複製する

セキュリティ研究者のHåkon Måløyが、Microsoft Copilot for Wordに対するワーム型攻撃を実証した。詳細は本人のブログに公開されている。

攻撃の仕組みはシンプルで、かつ検知が難しい。攻撃者は白背景に白文字・極小フォントでドキュメント内に命令文を埋め込む。人間の目には完全に見えないが、CopilotはテキストをAIに渡す前に色やフォントサイズの情報を除去するため、隠し命令をそのまま読み取ってしまう。

ユーザーがそのドキュメントをCopilotへのソースとして利用すると、Copilotは隠された命令を実行し、生成した新しいファイルに同じ命令を書き込む。そのファイルをテンプレートとして使うと、攻撃がまた発火する。ドキュメントを介して感染が連鎖していくワーム的な挙動だ。

Måløyが示した具体的なシナリオが核心を突いている。インターネット上の「マーケット分析レポート」に仕込まれた攻撃が、それを参照して生成された「財務レポート」に引き継がれ、さらにそこから別のレポートへと感染が広がっていく。AIがドキュメント生成の中核に組み込まれている職場環境において、この連鎖は現実的な脅威となりうる。

Microsoftは2回の修正に失敗、元記事公開時点で144日未修正

Måløyは2025年3月31日にMicrosoftへ報告し、同社は挙動を確認した。しかし修正の試みは2回失敗し、元記事が公開された8月1日時点で144日が経過してもなお修正が完了しないまま、Måløyは調査結果の公開に踏み切った。ペイロード（実際の命令テキスト）の具体的な内容は現時点で伏せられている。

AIセキュリティ研究者のAndreas Kirschはかつて、「AIセキュリティリスクが本物だと懐疑論者を納得させるために、まさにこういうワームを誰かに作ってほしい」と冗談めかして投稿していた。今、それが現実に存在する。

プロンプトインジェクションは未解決のまま — 企業環境への影響は深刻

今回の攻撃が突くのは、AIシステム全般に共通する根本的な弱点だ。プロンプトインジェクションとは、AIへの入力に悪意ある命令を紛れ込ませ、AIの動作を乗っ取る手法を指す。OWASPもLLMアプリケーションにおける最重要リスクの一つとして位置づけている脆弱性であり、業界全体でまだ有効な根本対策が確立されていない。

企業環境における影響は特に深刻だ。Microsoft Copilot for Microsoft 365は、WordやTeams、Outlookなど業務ツールと深く統合されており、社内ドキュメントを横断的に参照しながら新たなコンテンツを生成する。この「参照して生成する」という動作そのものが、今回の攻撃が悪用するベクターであり、統合度が高いほど感染の連鎖が広がりやすい構造になっている。外部から受け取ったWordファイルを社内テンプレートとして流用するといった日常的な業務フローが、そのまま感染経路になりうる点は見過ごせない。

AIエージェントが外部ドキュメントやWebページを自律的に参照するようになるほど、攻撃面は広がる。The Decoderが別記事で指摘しているように、プロンプトインジェクションはAIセキュリティにおける未解決問題であり続けている。現時点でユーザー側が取れる現実的な対策は、外部出所のドキュメントをCopilotのコンテキストに読み込む際に内容を事前確認する運用ルールの整備や、信頼できないソースからのファイルをAIに渡さないポリシーの徹底といった、運用面での対処に限られている状況だ。Microsoftからの技術的な修正がいまだ提供されていない以上、企業のセキュリティ担当者はこのリスクを正面から認識しておく必要がある。

詳細はA security researcher built a self-spreading worm that hides inside Word docs and hijacks Microsoft Copilotを参照していただきたい。