Copilotが自ら脆弱性の秘密パラメータを暴露
原題: Microsoft Copilot reveals secret input that allowed it to be hacked
なぜ重要か
AIアシスタント自身が内部の安全機構を言語化して漏洩するという新たな攻撃ベクターを実証した事例として、AI製品全体のセキュリティ設計に再考を迫る。
セキュリティ企業Varonisの研究者が、Microsoft 365 Copilot（企業向け）に対し、AIに質問を繰り返すことで未公開の内部パラメータ「?autorun=1」を引き出し、ユーザーがリンクをクリックするだけでパスワード等の機密情報を窃取できる脆弱性を発見した。Microsoftは2026年2月に暫定対処し、8月18日により包括的な修正を公開した。
セキュリティ企業Varonisの上席研究者Lior Adarらは、Microsoft 365 Copilot（企業向け）において、ユーザーの明示的な操作なしに機密データを外部へ送信できる脆弱性を発見した。通常、CopilotをはじめとするAIアシスタントは、Enterキー押下などユーザーの明示的な操作（ジェスチャー）がなければ強力なコマンドを実行しない設計となっている。
研究者たちは逆にCopilot自身に対し「なぜ自動実行が不可能か」「どのようなURL構造やディープリンクが関係しているか」「プロンプトフィールドに入力済みの状態でページが読み込まれた場合どうなるか」などの質問を繰り返した。Copilotは拒否しながらも、そのたびに内部アーキテクチャに関する技術的詳細を漏らし続け、最終的にユーザー同意の要件を完全にバイパスできる未公開のプロンプトパラメータ「?autorun=1」を自ら開示した。
Adarは「最初Copilotは拒否し続けたが、拒否するたびに内部アーキテクチャの技術的詳細が明かされていった。最終的に未公開パラメータが開示され、それを自動実行プロンプトに利用した」とArs Technicaに語った。
「?autorun=1」を既知のパラメータ「?q=」と組み合わせると、標的が悪意あるURLをクリックした瞬間にプロンプトが無音で発火し、パスワードなどの機密情報を窃取できる状態になった。
Varonisは脆弱性を報告し、Microsoftは報告から3か月後の2026年2月に暫定対処として「?q=」によるチャットボット入力へのテキスト注入を禁止した。ただしこの対処は、「?q=」を正規用途で使用していたサードパーティのブラウザ統合にも影響を与えた。より包括的な修正は2026年8月18日に公開された。