Word向けCopilotでAIワームが文書間を自己増殖
原題: Document-borne AI worms can self-propagate through Copilot for Word
なぜ重要か
主流の商用生産性スイートでAIワームの文書間自己増殖が実証されたことは、企業内ドキュメントワークフローの信頼性に対する新たなセキュリティリスクを示す重要な事例である。
セキュリティ研究者のHåkon Måløy氏は2026年7月28日、Microsoft Copilot for Wordにおいて、悪意ある指示を含む文書が別の文書へと自己増殖するAIワームの概念実証を公開した。攻撃者が文書に隠した指示をCopilotが実行し、生成・編集した新たな文書にも同指示をコピーすることで連鎖的に伝播する。MicrosoftのMSRCとの協調開示を経て、144日間の調整期間後に開示された。
研究者のHåkon Måløy氏は、Microsoft Copilot for Wordを対象とした「ドキュメント型AIワーム」の自己増殖攻撃を実証し、MicrosoftのSecurity Response Center（MSRC）との協調開示を経て公開した。当初90日間の調整期間は2度延長され、計144日間となった。
本報告は「Context Collapse」シリーズの第3弾であり、過去の第1・2弾で示されたクロスドメインプロンプトインジェクション攻撃（XPIA）を、単一インタラクションの侵害から文書ワークフロー全体への伝播へと拡張したものだ。
攻撃の仕組みは次のとおりである。攻撃者が悪意ある指示を文書内に隠蔽し、その文書がCopilot for Wordの参照資料として使用されると、Copilotはユーザーのリクエストとしてそれらの指示を解釈・実行する。さらにCopilotが生成・編集した新たな文書にも同一の隠し指示がコピーされ、その文書が次のCopilotワークフローで使われると再び指示が発動するという連鎖が生じる。
具体例として、従業員が侵害された外部ウェブサイトからダウンロードした市場分析レポートを財務報告書の作成に利用するシナリオが示された。CopilotはこのレポートをもとにAIが内部の数値を改ざんしつつ、攻撃用指示を新文書にも埋め込む。その報告書を別の同僚が再利用すれば、さらに別の文書へと伝播し、元の悪意ある文書や攻撃者の関与なしに攻撃が継続する。
Måløy氏によれば、AIワームの先行事例として「Morris II」（GenAI搭載メールアシスタント向けの自己増殖プロンプト伝播）が存在するが、主流の商用生産性スイートにおける文書ワークフローを通じた自己増殖の公開実証としては、今回が初めての事例の一つとされる。MicrosoftにはPoC手順・動画・環境条件・使用プロンプトが提供されており、製品チームおよびMSRCと緩和策について協力したと述べられている。