WordのCopilotを悪用したAIワーム拡散手法が発見

The Hacker Newsが7月30日（現地時間）に報じた内容によると、Microsoft WordのCopilot機能を悪用し、ドキュメント内に隠された悪意あるプロンプト（指示）を別のWord文書へ自動的にコピー・拡散させる新たな攻撃手法が発見された。この手法は、指示が自己複製して次々と感染を広げる性質を持つことから「AIワーム」と呼ばれている。攻撃者がドキュメント内に潜ませたプロンプトをAIが読み込むことで、ユーザーの意図しない形で別の文書へとプロンプトが伝播する危険性が指摘されている。

本攻撃手法は、AI研究者のHåkon Måløy氏により発見され、「Context Collapse, Part 3 - AI Worming through Word」として詳細が公開された。

攻撃の主な手順と仕組みは以下の通りである。

• ​攻撃の起点​: 攻撃対象となる初期のWordドキュメントに、悪意あるプロンプトをあらかじめ埋め込んでおく。
• ​指示の誤認識と実行​: ユーザーがCopilotを利用して対象ドキュメントを読み込ませると、Copilotは隠された悪意あるプロンプトを通常の指示として受け取る。
• ​自動伝播​: プロンプト内に自分自身をコピーする命令が含まれており、Copilotが新しく作成・編集する別のWord文書へ悪意あるプロンプトが自動で書き込まれ、次々と伝播していく。

研究者が挙げた具体的な被害シナリオでは、従業員が公開資料をCopilotに読み込ませて財務報告書を作成するケースが想定されている。資料内に埋め込まれた悪意あるプロンプトにより、Copilotが財務データを改ざんし、同時に新しい文書へプロンプトを保存する。この文書が社内やグループ企業で共有されることで、誤った資料の拡散と被害の連鎖的な拡大が発生するおそれがある。

本脆弱性は責任ある情報開示手続きに基づき、144日間の猶予期間を経て7月28日（現地時間）に公開された。Microsoftはモデルのアップグレードを含む2度の対策を実施したが、公開時点において脆弱性の完全な解消には至っておらず、有効な直接の防衛手段は確認されていない。

現時点で攻撃を直接防ぐ確立された手立てが存在しないため、研究者は被害を軽減するための運用上のポイントを提示している。

• ​外部資料の境界明確化​: Copilotを利用する際は、外部から取得した資料を信頼できないものとして扱う。
• ​事前確認の徹底​: Copilotにコンテキストとして添付・読み込ませるドキュメントの内容を事前に確認する。
• ​作成後文書の検査​: Copilotによって生成または編集されたドキュメントは、社内共有や配布の前に慎重に検査する。

特に注意すべき点として、今回の実証で用いられた手法には「白い背景に白色・極小フォントでプロンプトを隠す」アプローチが含まれている。単純な目視では認識できないため、文書全体を選択（ハイライト）して非表示の文字列を浮き出させる確認作業が有効とされる。

（編集部注: 生成AIアシスタントの業務利用が急速に進む中、文書を介して悪意あるプロンプトが自動伝播する脅威が現実的となった。単なる誤情報の生成にとどまらず、組織内での二次被害につながるリスクがあるため、ユーザーによる厳格なドキュメント管理と、AIモデル側のセキュリティ対策の強化が望まれる。）

出典: 後藤大地

引用元: 後藤大地