ノルウェーのセキュリティ研究者 Hakon Moller は、最近自身のブログで Microsoft 365 Copilot を利用した自己複製攻撃の手法を公開しました。この攻撃の鍵は、攻撃者が Word 文書に JSON 形式のコマンドを挿入し、白い背景、白いフォント、極小のフォントサイズを使用してその内容を見えなくすることにあります。Copilot がこれらの文書を処理する際、色やフォントサイズなどのフォーマットが削除され、人間の目には認識できない文字がモデルに直接伝達され、これがクロスサイトプロンプトインジェクション攻撃を構成します。
概念実証の過程で、Copilot は四半期の財務報告書のすべての数値を半分にするよう操作されましたが、ユーザーには通知されませんでした。攻撃コマンドは白い 8 ポイントフォントで結果文書の底部にコピーされました。感染した文書は、その後の作業で元の文書を必要とせずに同じ攻撃を繰り返し実行できます。攻撃者はターゲット組織の Microsoft 365 環境に侵入する必要はなく、SharePoint、Teams、または Outlook を通じて文書を共有するだけで目的を達成できます。Work IQ モードでは、文書が添付されていなくても、Copilot は自動的に OneDrive を検索し、他のフォルダ内の悪意のある文書を参考資料として使用します。
Microsoft の脆弱性への対応とその影響
報道によると、Moller は 3 月 6 日に Microsoft セキュリティレスポンスセンターにこの問題を報告し、Microsoft は 3 月 31 日に問題を確認し、4 月 3 日に初回の緩和策を発表しました。しかし、攻撃者は表現を変更することで問題を再現しました。7 月 14 日、Microsoft は基盤モデルを GPT-5.5 にアップグレードし、第二回の緩和策を講じましたが、翌日には GPT-5.6 でも攻撃が再現されました。現在までに、この問題は完全には修正されていません。
Moller は、すべての公開された緩和策を適用した後でも、この攻撃を完全に再現できると述べています。この脆弱性には CVE 番号が割り当てられておらず、公開の延期は通常の 90 日から 144 日に延長されました。
この攻撃の危険性は文書内容の改ざんやコマンドの伝播にあり、ファイルの漏洩ではありません。Moller は、Microsoft の修正策が露出リスクを大幅に低下させたと考えていますが、同様の製品がこの種の攻撃に対する完全な対策を講じていないことを指摘しています。彼は、ユーザーが Copilot で処理する前に外部文書を信頼できない資料と見なし、添付ファイルを確認し、Copilot が生成または修正した文書を共有する前に再確認することを推奨しています。