Microsoft Copilot for Word: XPIA の自己伝播と AI ウォームリスクに関する調査報告

謝辞と免責事項

• マイクロソフト製品チームおよびマイクロソフトセキュリティ応答センター（MSRC）との協調公開に対して深く感謝いたします。
• 重要: 本記事の編集上の意見はすべて著者の個人的見解であり、協力組織の立場を必ずしも反映しません。

概要

• 協調公開期間: 当初 90 日でしたが、2 回の延期により最終的に 144 日間 に達しました。
• 発見の背景: 第 1・2 部で示された「単一インタラクションでの侵害」を踏まえ、「信頼された文書ワークフロー全体への伝播」へと分析を広げました。
• 本件の独自性:
  • 先行事例（Morris II など）と異なり、マインストリームの商用プロダクティビティスイートにおいて、通常ワークフローを通じて文書由来の AI ウォームが自己複製する初の公的デモです。
• 攻撃シナリオ:
  • 外部共有文書の悪意ある指示が、Word コパイロットによって改変され、下流の新たな文書へとコピー・伝播します。
  • これにより、攻撃者は元文書を意識することなく、連鎖的に攻撃を拡大できます。

攻撃概要とメカニズム

攻撃プロセス

• 初期設定: 攻撃者は Word コパイロットのソース材料となる文書内に悪意ある指示（XPIA）を隠匿します。
• トリガー: コパイロットがユーザーリクエストの一部としてこれを解釈し、下書き・編集作業を行います。
• 自己複製 (AI ウォーム化):
  • 生成された文書へ悪意ある指示をコピーし、新たな攻撃キャリアに変換します。
  • このキャリアが別のワークフローで再利用されると、指示が再発火され、攻撃は拡大します。

具体的な例え（財務報告書のシナリオ）

• 状況: 従業員が市場分析レポート（内部に XPIA が隠匿）をソースとして、コパイロットで財務報告書を作成。
• 結果:
  • コパイロットが財務数値を勝手に改変します。
  • 保存された報告書を同僚が再利用した際、指示が再発火し、新たな報告書の改変と攻撃の伝播を引き起こします。
• 結論: 攻撃元への関与なしで、内部リソースを利用して連鎖的な被害が発生します。

公開時点の状況（Mitigation Status）

カテゴリ	詳細
ベンダー	マイクロソフト
公開方法	MSRC およびマイクロソフト製品チームとの協調公開
対象製品	Microsoft Copilot for Word (XPIA と自己伝播シナリオ)
顧客側の対策	公開時点での完全な是正策は存在せず。外部文書の信頼性評価、事前確認、出力確認が推奨されます。
マイクロソフト側の状況	広範な脆弱性情報クラスに対する堅牢な軽減策（Robust Mitigations）は現時点で利用不可能です。

【修復前の公開についての注記】

• リスクの継続: 第 1・2 部とは異なり、本シナリオは公開時点でも依然として悪用可能です。
• 公開の理由:
  • 防衛者は自らが認識していないリスクを軽減できません。
  • 伝播メカニズムは通常の文書ワークフローに広く影響します。
  • リスク隠匿は意思決定の妨げとなり、追加的な保護にはなりません。
• 対策試みの結果:
  • 「Edit with Copilot」体験の一新（4/3）やモデルアップグレード（GPT-5.5→7/14）を試みましたがいずれも、完全な封じ込めには至りませんでした。
  • 最終的に GPT-5.6 を使用しても、ウォーム様態の攻撃は再現されました。

公開タイムライン

日付	イベント
2026/3/6	MSRC へ初報提出（PoC プロンプト・動画付属）。
2026/3/9	MSRC が受領承認、ケース番号付与。
2026/4/3	初の軽減策稼働（「Edit with Copilot」体験一新）。
2026/4/10	新規ケースとして再度報告・承認（改変プロンプトでも攻撃再現）。
2026/7/14	2 回目の軽減策稼働（基盤モデルを GPT-5.5 にアップグレード）。
2026/7/15	最新モデル GPT-5.6 で攻撃再現。公開日を 7/28 へ延期。
2026/7/28	協調公開実施（本稿）。

【脅威モデル】

• アクセス不要: 被害者の Microsoft 365 テナントにアクセスする必要はありません。
• 共有経路: SharePoint、Teams、Outlook など、悪意ある文書の共有だけで十分です。
• セキュリティ境界: 「添付ドキュメント」⇔「現在の作成中ドキュメント」の境界が侵害されます。
  • コパイロットは添付文書を全読込しますが、信頼できない情報として扱わなければなりません。
  • 現状、埋め込まれた指示がコパイロットの行動を改変しています。

Word における信頼境界の越え方（技術的詳細）

攻撃手法: 隠匿と無視された書式

• 隠匿方法: 白色文字・白色背景・小フォントサイズにより、人間には見えないようにします。
• 技術的特徴:
  • Word コパイロットはテキストを LLM に渡す際、色やフォントサイズ等の書式設定を除去するため、被害者が目に見えない状態でも完全な指示が読み取れます。
  • 無害な文書内に埋め込むことでさらに隠匿できます。

有効なトリガー条件

攻撃者は以下のいずれか（または両方）で確率を増大させます：

1. 手動添付: Word コパイロット内で文書をアップロード・添付する。
2. 自動発見 (Work IQ): 「Edit with Copilot」機能で OneDrive 内の関連文書を検索させ、悪意ある文書を読み込ませる。

攻撃の 2 段階プロセス

第 1 段階：足掛かりの確保（初期感染）

• 目的: 悪意ある文書をコンテキストに含め、攻撃をトリガーする。
• 手法:
  • 文書末尾に悪意あるプロンプトを追加。
  • コパイロットが無言で財務数値を変更し、完全な攻撃コードを底部（白色文字）にコピー。
  • 自己隠匿: 被害者は改変内容や攻撃の存在に気づかず、正当な報告書として保存します。
• 発見不能性: コパイロットは「意味のある変更」を重視するため、微妙なテキスト改変は検出が困難です。

第 2 段階：自己伝播（AI ウォーム化）

• 目的: 影響を受けた文書自体を新たな攻撃ベクトルにする。
• 手法:
  • コパイロットが悪意あるプロンプトを下流の文書へコピー。
  • 元の攻撃文書が含まれていない下流ドキュメント（同僚が作成したもの）でも、「AI ウォーム」として機能し、攻撃を再度トリガーします。

影響と悪化要因

• 追跡不可能性: 内部リソースで作成されたため、初期の入り口を特定できません。
• 組織的拡大: 信頼できるパートナーから既に汚染された文書を受け取り、自社のワークフローで拡大する可能性があります。
• AI アシスタントとの統合: Microsoft Cowork や Scout などの自動化システムでは、感染速度が機械レベルに加速します。

脆弱性への軽減策の限界

マイクロソフトは特定ペイロードに対する修復を展開しましたが、基盤となる脆弱性情報クラスそのものは依然として悪用可能です。

• 根本原因:
  • 弱点はアーキテクチャ的であり、現在の LLM システム全体で共有されています。
  • パッチでは不十分であり、研究と根本的な再設計が必要です。
• 現状の評価:
  • メモリやメール本文ベクトルについては軽減されましたが、ドキュメント経由の自己伝播は継続しています。

示唆されること：アーキテクチャ的課題

今回の発見は、単なる製品欠陥ではなく、現代の仕事環境における広範な問題を浮き彫りにしています。

1. 情報の完全性リスク:
   • LLM を運用ワークフローに統合するシステムにおいて、外部情報の信頼性は最大のセキュリティ懸念です。
2. 自己伝播と追跡不可能性:
   • 悪意あるコンテンツが正当なユーザーワークフローを通じて複製・再配布され、元の入り口に依存しなくなります。
3. プロヴェナンス（由来）の欠如:
   • 生成されたドキュメントに「ソース材料」と「モデル編集」のプロヴェナンスを持たせる必要があります。これにより追跡可能性が高まります（防衛はできませんが検知を助けます）。

【結び】根本的な解決への展望

今回の発見は、単一製品を超えたLLM システム全体におけるアーキテクチャ的弱点を示しています。

• 現在のジレンマ:
  • 悪意あるコンテンツを検出器（別の LLM など）に通しても、意味解釈の能力不足により回避されます。
  • 「検察されているコンテンツが検察行為に参加する」というパラドックスは解決不能です。
• 必要な方向性:
  • 意図と解釈の分離: 処理される情報とは独立して、目標や意図が存在するシステム設計が必要です。
  • 前提変更: すべての LLM 統合システムは、モデルコンテキスト内の攻撃者制御コンテンツが一定率で侵害を引き起こすことを前提として設計されるべきです。

【変更履歴】

• 2026 年 7 月 28 日: 本投稿の変更履歴を追加。