MicrosoftのCopilot for Wordを介したAIワームの実証
- カテゴリ
- AI関連
報告者の2026年7月28日の公表によると、Word文書に隠した指示をCopilot for Wordが利用者の依頼の一部と解釈し、下書きや編集中の文書を書き換え、同じ指示を結果の文書へ複写することがある［1］。Microsoftとの協調開示の調整期間は、2回の延長で144日になった［1］。公表の段階では、現行の緩和策をすべて適用した状態でも攻撃が再現し、脆弱性の類型全体への堅牢な緩和策は無かった［1］。
報告の内容
報告者は自身のブログEn Klype Saltに、連載「Context Collapse」の第3部として報告を掲載した［1］。指示を複写された文書は新しい運び手になり、別のCopilotの作業で使われると、攻撃者の元の文書が無くても指示が再び働いて、さらに別の文書へ伝播しうる［1］。
攻撃の前提と隠し方
報告者のブログによると、攻撃者は被害者のMicrosoft 365テナントへのアクセスを要さず、悪意のある文書を被害者と共有するだけでよい［1］。共有にはSharePoint・Teams・Outlookなど、文書を共有するどの方法も使える［1］。
報告者は、悪意のある文書にJSON形式のプロンプトを入れ、白地に白文字・小さい文字にすれば被害者から隠せると説明した［1］。Copilot for Wordは文字の色や大きさなどの書式をすべて取り除いてから基盤の大規模言語モデル（LLM）に文章を渡すため、被害者に見えない文字もCopilotには読める［1］。
報告者のブログの記事では、攻撃が働くには悪意のある文書がCopilotの文脈に入る必要がある［1］。Copilotの版によって、被害者がCopilot for Wordで文書を添付・アップロードするか、work/Work IQモードの「Edit with Copilot」でCopilotに被害者のOneDriveから文書を見つけさせるか、どちらかの操作が前提になる［1］。この悪用は、Wordの「magic pen」と「Edit with Copilot」の両方の機能に関係する［1］。
報告者は例として、改ざんされた信頼済みのサイトから市場分析の文書を入手した従業員が、それを素材にCopilotで財務報告書を作る場面を挙げた［1］。この場面では、隠した指示がCopilotに社内の数値を改変させ、攻撃を新しい文書へ複写させる［1］。
財務報告書での再現
概念実証の起点は、報告者が作った架空の会社Tfosorcim Ltd.の偽の市場分析の文書で、末尾に攻撃を白文字で付けた［1］。プロンプトは2部構成で、一方が文書への影響の指示、もう一方が攻撃を自己伝播させる指示であり、自らを隠す指示も含んでいた［1］。一連の概念実証で使ったのは、執筆当時のOpenAIの最新モデルGPT-5.6だった［1］。
悪意のある文書を添付して作らせたQ1の財務報告書の下書きで、Copilotは財務数値をすべて半分にし、攻撃のプロンプト全文を白文字で付け加えた［1］。数値の半減も攻撃の追加も、利用者には伝えなかった［1］。被害者が添付しない場合も、CopilotはOneDriveを探して他の資料と別のフォルダにあった悪意のある文書を読み、悪用が成功した［1］。
第2段階で新しい下書きに添付したのは先に作られた文書（Tfosorcim Q1 2026 report.docx）だけで、元の攻撃の文書は外した［1］。Q2の財務報告書の下書きでも、Copilotは数値を半減させ、攻撃の全文を白文字で再び書き加えた［1］。報告者は、報告したすべての概念実証のシナリオで、Copilotが生成・編集した文書を改変し、隠した指示を複写したと書いた［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | 報告者 | 再現手順・動画・環境の前提・概念実証のプロンプトを付けた最初の報告をMicrosoft Security Response Center（MSRC）に提出した | ［1］ |
| 2026年 | MSRC | 受領を確認し、案件を開いた | ［1］ |
| 2026年 | Microsoft | 報告された挙動を確認し、製品チームが緩和の作業を始めた | ［1］ |
| 2026年 | Microsoft | 最初の緩和策として、新しい「Edit with Copilot」の体験が稼働した | ［1］ |
| 2026年 | 報告者 | 元の攻撃プロンプトの文言が緩和されたことを確かめ、財務数値を操作する新しいプロンプトで「Edit with Copilot」での攻撃を再現して、別の案件としてMSRCに報告した | ［1］ |
| 2026年 | MSRC・Microsoft | 2件目の受領を確認して案件を開き、製品チームが緩和の作業を始めた | ［1］ |
| 2026年 | - | Microsoftの求めで、公表日を2026年7月15日に移した | ［1］ |
| 2026年 | Microsoft | 2つ目の緩和策が稼働し、基盤のモデルをGPT-5.5に更新した | ［1］ |
| 2026年 | 報告者・Microsoft | 当時利用できた最新のモデルGPT-5.6でワームの動作を伴う攻撃を再現し、公表を2026年7月28日へさらに2週間延ばす報告者の提案にMicrosoftが同意した | ［1］ |
| 2026年 | 報告者 | 攻撃の類型が引き続き再現し、協調した公表としてブログに報告を掲載した | ［1］ |
根拠と範囲
報告者は、開示まで90日間の調整期間をMicrosoftに伝えていた［1］。連載の第1部・第2部で扱ったメモリとメール本文の経路は完全に緩和されたが、このシナリオは公表の段階でも悪用できる状態にあった［1］。モデルの更新を含む2回の緩和の試みでも類型を閉じられなかったため、報告者はペイロードの水準ではなく類型の水準で開示した［1］。
The Hacker Newsの7月30日の記事によると、MicrosoftはWordが最大20のファイル・メール・会議を下書きの根拠にでき、Edit with CopilotがWork IQを使えると説明した［3］。Edit with Copilotは、対象のライセンスを持つ利用者に全世界で展開を続けていた［3］。
The Hacker Newsは、開示は実環境での悪用を報告しておらず、報告者は完全なペイロードを伏せたと報じた［3］。攻撃はゼロクリックではなく、従来型のマルウェアも実行しない［3］。Copilotの下書きか編集の操作が要り、連鎖の各段で運び手がモデルの文脈に入る別の操作を要するため、連鎖は自ら広がるものではない［3］。
Microsoftの製品の文書では、Microsoft Copilotは脱獄とクロスプロンプトインジェクション攻撃（XPIA）の分類器などで攻撃を緩和し、分類器はモデルの実行前に入力を分析して高リスクのプロンプトを遮断する［7］。分類器を使えないCopilotの場面もありうる［7］。
関係者の対応
TechRadarの8月1日の記事によると、MicrosoftはThe Registerへの声明で、研究者が報告した所見に対処したと説明し、協調された脆弱性の開示を通じた協力に謝意を述べた［4］。Microsoftは同じ声明で、この種のリスクに多層防御で対処し、悪意のある指示を複数の地点で遮断して作業を利用者の依頼に沿わせる安全策を、技術と脅威の変化に合わせて強化し続けていると説明した［4］。顧客には、最新の更新の適用、複数層の防御、未知の提供元のコンテンツへの注意、AIが生成した内容を使う・共有する前の確認を勧めた［4］。
The Hacker Newsは、記事の公開の段階でNVD・CVE.org・MicrosoftのSecurity Update Guideを検索しても、Wordの所見の公開のCVEやMicrosoftの単独のアドバイザリは見つからなかったと報じた［3］。
報告者の説明では、Microsoftは最初に提出された概念実証のプロンプトを緩和し、開示の過程で複数の修正を出した［1］。報告した個別のペイロードは塞がれ、その後の再現には改変したペイロードが必要だった［1］。
報告者は、利用者側でこの問題を完全に解消する対処は公表の段階で無いとし、露出を減らす方法を3つ挙げた［1］。
未公表の事項
- 脆弱性の類型全体を塞ぐ修正の時期（TechRadarは、Microsoftの声明が完全な修正の時期を示さなかったと報じた［4］）
- 7月28日の公表の後に加わった緩和策の有無
- Microsoftの自社サイトでの原因と対応の説明
出典
調査・観測
- ［1］En Klype Salt『Context Collapse, Part 3 - AI Worming through Word』（2026年7月28日公開、2026年7月30日更新）
報道機関
- ［3］The Hacker News『Microsoft Copilot for Word Can Copy Hidden Prompts Into New Documents』（2026年7月30日公開）
- ［4］Future plc『Expert warns this dangerous Microsoft Word worm can burrow into Copilot and cause havoc — here's what we know』（2026年8月1日公開）
背景資料
- ［7］Microsoft Corporation『Data, Privacy, and Security for Microsoft Copilot』（2026年7月9日公開）
更新記録
- 2026年8月13日：公開した。