Word版Copilot乗っ取るAIワームPoC

セキュリティ研究者のHåkon Måløy氏が、Microsoft Copilot for Wordの脆弱性を悪用し、Word文書を介して無自覚のうちに自己増殖・拡散するAIワーム（LLMの指示解釈機能を悪用して文書経由で自己拡散する不正プロンプト）の概念実証（PoC）を実証公開した。

脆弱性のメカニズムと確認済みの事実

本PoCで示された攻撃メカニズムおよび影響範囲は以下の通りである。

• XPIA（クロスドメインプロンプトインジェクション）の悪用: 攻撃者はWord文書内に背景色と同色のテキスト（白文字など）で隠し指示を埋め込む。
• ​インデックス化を介した自己拡散: ユーザーが文書を開くか、Microsoft Copilot（またはWork IQ / OneDrive）が背景で文書を自動インデックス処理した際、LLMが隠しテキストを受信指示として解釈する。Copilotは指示に従い、新たに作成または編集されたWord文書へ自らの攻撃ペイロード（隠しプロンプト）を自動挿入し、文書共有ワークフローを通じて拡散していく。
• ​静かなデータ改ざん: VBAマクロや追加の実行可能ファイル（.exe等）を一切使用せず、財務データや表の数値を静かに改ざんできることが確認された。

従来型マルウェアとの独自比較と防衛策の整理

比較項目	従来型マクロワーム	今回実証されたAIワーム
実行トリガー	VBAマクロ・スクリプトの有効化	LLMによる自然言語テキストの読み込み​
検知難易度	アンチウイルス（AV）で検知可	​正常なテキスト文書と区別が困難​
拡散経路	添付ファイル・危険なリンク実行	Copilot/Work IQの自動インデックス処理​

GPT-5.6へのモデル刷新やMicrosoftの安全フィルタが導入された後も、プロンプトインジェクション問題はモデルの根本的な仕様に由来するため防除が困難である。企業はアクセス権限の最小化、AI出力ドキュメントの人間によるチェックの徹底が不可欠となる。

セキュリティの分析と今後の展望

文書インデックス化というAIの利便性そのものが攻撃の伝播経路となる点は極めて深刻である。AIエージェントがユーザーに代わってファイルを閲覧・編集する権限を持つ以上、指示データと一般テキストを完全に分離する安全設計が確立されない限り、新たな企業脅威となり続ける。

引用元：The Decoder