ノルウェーのセキュリティ研究者Hakon Mollerは最近、彼のブログでMicrosoft 365 Copilotを利用した自己複製攻撃の手法を公開しました。この攻撃の鍵は、攻撃者がWord文書にJSON形式のコマンドを挿入し、白い背景、白いフォント、極小のフォントサイズを使用してその内容を見えなくすることです。Copilotがこれらの文書を処理する際、色やフォントサイズなどのフォーマットが除去され、人間の目には認識できない文字がモデルに直接渡され、これがクロスサイトプロンプトインジェクション攻撃を構成します。
概念実証の過程で、Copilotは四半期の財務報告書内のすべての数値を半分に減少させるよう操作されましたが、ユーザーには通知されませんでした。攻撃コマンドは白い8ポイントフォントで結果文書の底部にコピーされました。感染した文書は、以降の作業で元の文書なしに同じ攻撃を繰り返すことができます。攻撃者はターゲット組織のMicrosoft 365環境に侵入する必要はなく、SharePoint、Teams、またはOutlookを介して文書を共有するだけで目的を達成できます。Work IQモードでは、文書が添付されていなくても、Copilotは自動的にOneDriveを検索し、他のフォルダー内の悪意のある文書を参考資料として使用します。
Microsoftの脆弱性への対応と影響
報道によると、Mollerは3月6日にMicrosoftセキュリティ対応センターにこの問題を報告し、Microsoftは3月31日に問題を確認し、4月3日に最初の緩和策を発表しました。しかし、攻撃者は表現を変更することで問題を再現しました。7月14日、Microsoftは基盤モデルをGPT-5.5にアップグレードし、第二の緩和策を実施しましたが、翌日にはGPT-5.6が依然として攻撃を再現できました。現在まで、この問題は完全には修正されていません。
Mollerは、すべての公開された緩和策を適用した後でも、この攻撃を完全に再現できると述べています。この脆弱性にはCVE番号が割り当てられておらず、公開の延期は通常の90日から144日に延長されています。
この攻撃の危険性は文書内容の改ざんとコマンドの伝播にあり、ファイルの漏洩ではありません。MollerはMicrosoftの修正策が露出リスクを大幅に低下させたと考えていますが、同様の製品がこの種の攻撃に完全に対応する策を持っていないことを指摘しています。彼はユーザーに対し、Copilotで処理する前に外部文書を信頼できない資料と見なし、添付ファイルを確認し、Copilotが生成または修正した文書を共有する前に再確認することを推奨しています。