Microsoft Simon警告：CopilotのWordワームが信頼済みファイルを媒介に変える

研究者がWordを介した自己伝播型プロンプト攻撃を再現したことで、MicrosoftはCopilotに関する新たな警告に直面している。対策はすでに2回試みられていた。技術者Simon Willisonが取り上げたmicrosoft simonをめぐる記事は、隠し白文字が単一のAI応答に影響を与えるだけの話ではない。この指示は新しい文書にも引き継がれ、信頼されたファイルを次の媒介へと変え得る。

ノルウェーのデータサイエンティスト、Håkon Måløyは、Microsoftと144日間にわたって調整した後、2026年7月28日にこの研究を公表した。現在展開されているすべての緩和策を適用しても、攻撃は再現可能なままだったとしている。Microsoftは、報告された調査結果には対応済みであり、このより広範なリスク分類に対する安全策の強化を続けていると述べている。

中心にあるのは、Copilotの有用性と、その有用性が前提とする信頼モデルとの対立だ。Wordでは、Copilotが参照文書を読み、その意味を解釈し、新たな素材を作成できなければならない。同じ能力によって、悪意あるコンテンツがユーザー自身の指示と競合し、本来は正当な業務に入り込むことも可能になる。

これは自己複製型プロンプトを扱ったMorris-IIの研究に似ているが、媒介となるのは今や通常のオフィス文書である。報告された攻撃には、実行可能なマクロ、盗まれたテナント認証情報、元の悪性ファイルへの継続的なアクセスは必要ない。従業員がAIアシスタントに日常的な文書作成を依頼することに依存している。

Word文書は元の脅威のままではない

Måløyの重要な発見は伝播性にある。汚染された入力元は、一見クリーンな出力に同じ隠し指示を引き継がせることができる。

攻撃は、誰かが攻撃者の管理下にあるWord文書を受け取るところから始まる。それはメール、Teams、SharePoint、あるいは通常の共有チャネルを通じて届く可能性がある。その後、ユーザーはCopilotに文書作成や編集を依頼する際、その文書をソース資料として含める。

Måløyは、白い背景に小さな白文字を使って、ソース文書内に悪意あるプロンプトを配置した。通常、Wordユーザーがページを確認しても、その文字は目に入らない。しかしCopilotは受け取る可能性がある。文書処理では、テキストを言語モデルへ送る前に、文字色やサイズなどの書式が取り除かれるためだ。

この違いは重要である。白地に白文字を置くことは新しい隠蔽手法ではなく、隠された素材を介したプロンプトインジェクションもすでに十分に文書化されている。重要な変化は、Copilotがペイロードを読み込んだ後に起きることだ。

Måløyの技術的開示によると、隠しプロンプトには連動する2つのタスクが含まれていた。1つはCopilotに作成中の素材を変更させる指示であり、もう1つは生成される文書内でそのプロンプトを再現させる指示だった。

概念実証では、架空の企業と財務報告書が使われた。Copilotは、レポート作成時に財務数値を半減させ、その後に悪意あるプロンプトを白色・8ポイントの文字で追加したと報告されている。出力は社内で作成された業務文書に見えた。

その後、同僚がそのレポートを別のCopilotタスクのコンテキストとして利用する可能性がある。隠し指示は再び発動し、新しいレポートを改変し、そのファイルへ自身をコピーする。第2段階では、攻撃者が管理する元の文書はもはや不要になる。

これが、「ワーム」という表現を有用にする理由である。ただし重要な留保がある。従来のワームはコードを実行し、自動的に新たなマシンやサービスを探す。これに対し、この実証はモデルへの指示、文書の再利用、通常の人間のワークフローを利用して連鎖を継続する。

したがって、伝播には条件がある。誰か、または自動化されたワークフローが、感染したファイルをCopilotのコンテキストに置かなければならない。この研究は、すべてのWord文書が自律的に近くのすべてのファイルへ感染することを示したものではない。

この制約がリスクをなくすわけではない。組織では、レポート、提案書、ポリシー、テンプレート、会議要約、市場分析が絶えず再利用されている。媒介は、実行可能なソフトウェアだと認識されるからではなく、従業員がその業務コンテンツを信頼するから移動し得る。

生成されたファイルには、組織内での信頼性も加わる。社内の作成者名、承認済みの書式、見慣れたブランド表示、もっともらしい保存場所を持つ場合がある。文書が外部ソースから指示を引き継いでいたとしても、こうしたシグナルは再利用を促す。

Simon Willisonのセキュリティ要約は、この進展を明確に指摘している。プロンプトインジェクションは、もはや目先の応答だけに影響するものではない。モデルの出力が、次のモデル支援タスクにとって永続的な入力となる。

これがmicrosoft simonキーワードの背景にある出来事だ。Willisonがこの発見を紹介し、Måløyが研究を実施し、Microsoftが影響を受ける生産性環境を提供している。証拠を評価する際には、これらの役割を分けて考えることが不可欠である。

Microsoft Simonの検索が完全性の危機を指し示す理由

差し迫った危険は、情報の窃取だけではない。人々が意思決定に使う文書が静かに改ざんされることだ。

プロンプトインジェクションに関する報道は、しばしば機密性に焦点を当てる。攻撃者は外部コンテンツに指示を隠し、アシスタントがそれに従い、保護された情報がリンクやツール呼び出しを通じて流出する。これは依然として重大な脅威だが、Wordの実証は完全性を強調している。

情報の完全性とは、記録が正確で、帰属が明確であり、無許可の変更に耐えられる状態を意味する。Måløyの例が財務数値を標的にしているのは、数値の変更が分かりやすいためだ。同様の操作は、契約文言、ポリシーの例外、予測、技術要件、研究要約にも影響し得る。

変更されたレポートは、文法的に洗練され、社内文書として整合して見える可能性がある。害を生じさせるために、文書が明らかに不自然である必要はない。小さくもっともらしい変更の方が、レビュー担当者に疑われにくいため、より危険な場合がある。

Måløyは、どこを見ればよいか分かっていても、実験的な変更の一部は気付きにくかったと述べている。結果を追跡できるよう、Copilotに変更箇所を強調表示するよう指示したこともあった。実際の攻撃者に、そのような支援を提供する理由はない。

攻撃者は距離からも利益を得る。汚染された出力が別のレポートのソースになると、調査担当者は参照の連鎖を再構築しなければならない。元の悪性ファイルは存在しない、削除されている、あるいは差異を調査する部門の外部に保管されている可能性がある。

従来のセキュリティ制御では、しばしばIDと保存場所を基準に信頼を割り当てる。承認済みのMicrosoft 365テナント内で従業員が作成したファイルは、未知の送信者からの添付ファイルより安全に見える。自己伝播は、社内文書が外部の指示を継承し得るため、この前提を弱める。

この攻撃は、通常のコラボレーションを通じて組織の境界も越え得る。企業は、提案書、レポート、法的な草案、プロジェクト計画をサプライヤーや顧客と交換している。感染した社内ファイルが、別の組織にとって外部ソースとなる可能性がある。

これは、セキュリティチーム、記録管理者、監査担当者、事業責任者に負荷をもたらす。AI生成テキストを、単なる文章品質の問題として扱うことはできない。どのソースが文書に取り込まれたのか、モデルがどの変更を行ったのかを示す証拠が必要になる。

Microsoftの現在のWordガイダンスは、AI出力には誤りや不正確さが含まれる可能性があるため、ユーザーに確認するようすでに求めている。Copilotガイダンスでも、生成されたコンテンツに依拠する前に、ユーザーが編集して検証すべきだとしている。

人によるレビューには依然として価値があるが、完全なセキュリティ境界にはならない。レビュー担当者は、隠しテキスト、文書構造、ソースの系譜を調べず、可視の主張だけを確認する可能性がある。微妙な変更も、周囲の文脈に適合していれば残り得る。

組織は、品質のためのレビューと、敵対的な操作に対するレビューを区別すべきである。品質レビューでは、文章が明瞭で事実として信頼できるかを問う。セキュリティレビューでは、信頼できないコンテンツが挙動に影響したか、見えないまま存続したか、認可の境界を越えたかを問う。

アシスタントが編集操作を担うようになるにつれ、この区別はさらに重要になる。使い捨ての要約を生成する場合、永続性は限定される。共有文書を編集する場合、後に承認、アーカイブ、下流のAIシステムへ入る成果物を変更し得る。

ナレッジワーカーにとって、これは個人と組織の記憶に関する身近な前提を揺さぶる。AIワークフローが保存済み文書を繰り返しコンテキストとして解釈する場合、文書は受動的ではない。汚染された成果物は、基盤となるモデルを変更せずに将来の出力へ影響を与え得る。

検索可能なナレッジベースを構築するチームは、ソースのIDとレビュー状況を保持すべきである。検索の利便性によって、信頼できる指示と信頼できない証拠の違いを消してはならない。

隠しプロンプトが自己複製する媒介になる仕組み

この仕組みが機能するのは、Copilotが文書コンテンツの関連性、安全性、指示性を判断する前に、それを解釈しなければならないためだ。

間接的なプロンプトインジェクションでは、AIシステムがユーザーに代わって読む素材の中に、敵対的な指示を埋め込む。ユーザー自身が悪意ある命令を入力するわけではない。文書、メール、Webページ、ツール応答、取得されたメモリーがそれを供給する。

Microsoftはこのより広範な分類を、クロスプロンプトインジェクション攻撃、すなわちXPIAと呼んでいる。この攻撃は外部コンテンツからアシスタントの意思決定プロセスへと越境する。データをコマンドとして振る舞わせようとするものだ。

Wordの実証は、この境界から始まる。ユーザーはCopilotに対し、複数の添付ファイルを使って財務レポートを作成するよう依頼する。Copilotは、ある添付ファイルに隠し指示が含まれていたとしても、有用な事実を特定するためにそれらを読まなければならない。

モデルは、信頼済みと信頼できない言語を、同じ計算コンテキストの中で受け取る。システムルール、ユーザー要求、参照資料、過去のメッセージにはラベルや構造的な目印が付く場合がある。しかしモデルは、応答を予測する際に、それらすべてをトークンとして解釈する。

Måløyは、モデルベースの検知を、信頼できないプログラムが安全かどうかを判断するために、そのプログラムを実行するようインタープリターに求めることに例えている。自然言語は従来の実行可能コードではないため、この比喩は完全ではない。それでも、この問題の中心にある循環的な依存関係を捉えている。

システムは、モデルに任意の参照資料を深く理解させたい。弱いフィルターでは、言い換え、難読化、異例の書式、もっともらしい業務言語に包まれた指示を見逃す可能性がある。フィルターとして使われる同等に高性能なモデルも、それ自体がプロンプトインジェクションに直面し得る。

Microsoftは、入力フィルタリング、指示の分離、グラウンディング境界、出力フィルタリングなど、複数の保護策を説明している。プロンプトインジェクション防御でも、隠しテキストや不可視テキストを警告シグナルとして挙げている。

こうした層は、コンテンツと意図を完全に区別することなく、攻撃の成功率を下げることができる。Måløyによると、Microsoftは元の概念実証の文言をブロックした。そこで彼は、伝播の仕組みを維持したまま、要求するタスクと表現を変更した。

開示までの時系列は、繰り返される競争を示している。Måløyは3月6日にMicrosoftへ最初の報告を提出し、Microsoftは3月9日に受領を確認した。Microsoftは3月31日に、報告された挙動を確認した。

最初の緩和策は、新しい「Edit with Copilot」体験とともに4月3日に導入された。4月9日までに、元の文言は機能しなくなった。Måløyはその日、金融操作に関する新たなプロンプトタスクを使って、この挙動を再現したと報告している。

Microsoftはその後、別の緩和策を準備する間、公開を遅らせた。Måløyによれば、モデルのアップグレードは7月14日に導入された。彼はテスト時点で利用可能な最新モデルを使い、7月15日にワーム化を再現した後、さらに2週間公開を延期した。

7月28日、彼は攻撃が依然として再現可能であると報告した。脆弱性の分類は公表した一方、正確なペイロードは伏せた。この判断により、防御側はそのままコピーして使える攻撃プロンプトを提供せずに、ワークフロー上のリスクを検証できる。

この2段階の仕組みは、こうした改訂を通じても一貫していた。まず、悪意ある指示が進行中の下書き・編集タスクに影響を与える。次に、Copilotがその指示を出力にコピーし、永続的な運搬媒体を作り出す。

この第2段階が、この実証を大半の単発セッション型インジェクションと分けている。永続性はモデルのメモリや侵害されたアカウントに依存しない。人々が保存、承認、再配布できる通常のファイル内に存在する。

Microsoftの保護策にも依然として意義がある。インジェクションを成功させるために必要な労力を引き上げれば、露出を減らし、既知の表現を阻止できる。多層防御は、ある層が失敗した際の被害も抑える。

しかし、ペイロード固有のブロックは好ましくない保守サイクルを生み出す。攻撃者は文言、文書の文脈、要求する行動を変化させられる。防御側は、正当な指示に従うアシスタントの能力を維持しながら、広大な意味的空間をカバーしなければならない。

Copilotの生産性という約束が信頼境界に直面する

Copilotを便利にする同じ文書アクセスが、攻撃者が制御するテキストに、高信頼度の業務へ入り込む経路を与える。

MicrosoftはWordのCopilotを、下書き、要約、書き換え、他の文書からの情報を新たなコンテンツへ取り込むためのツールとして販売している。これらの機能には、組織の業務資料への幅広いアクセスが必要となる。

2026年4月、Microsoftは法務、財務、コンプライアンスの専門職向けに、Wordの追加機能を導入した。これには、詳細な確認を要するワークフロー向けのコメントや変更履歴の処理が含まれていた。Microsoftは、こうしたユーザーにとって文書の完全性は譲れないものだと述べた。

このワームに関する開示は、その約束を厳しい現実に突き付ける。Copilotが多くの情報源を読み、意味のある編集を行えるほど、重大な業務に携わる専門職は大きな恩恵を受ける。一方で、隠された指示がそうした行動を操作した場合、その影響もより大きくなる。

これが本稿の中心的な対立である。有用なコンテキストへのアクセスと、信頼できる指示の制御だ。すべての外部コンテキストを取り除けば、製品の機能は大きく制限される。意味のある文章をすべて潜在的な命令として扱えば、通常の下書き作業も損なわれかねない。

この問題はMicrosoftに限られない。検索拡張生成、すなわちRAGは、モデルが回答する前に選択された外部情報を与える仕組みだ。情報源と行動が厳密に制約されない限り、あらゆるRAGシステムは攻撃者が制御する資料にモデルをさらす可能性がある。

2024年のMorris-II論文は、生成AIのメールアシスタント環境における敵対的な自己複製プロンプトを実証した。これらのプロンプトは接続されたアプリケーションを介して伝播し、繰り返されるやり取りの中でデータ窃取を支援し得る。

Måløyの研究は、この概念を主流組織で使われるWordのワークフローへ移した。実験的なメール環境を、身近な文書作成・編集環境に置き換えたのである。攻撃経路は、社内ファイルに付与された信頼も悪用する。

他のAIベンダーも同じアーキテクチャ上の緊張関係に直面している。Google Workspaceのアシスタントは、共有コンテンツから文書を要約・作成できる。AnthropicとOpenAIの製品は、アップロードされたファイル、検索で取得した記録、接続アプリケーションのデータを処理できる。

重要な比較対象は、どのモデルが特定のペイロードに従うかではない。プロンプト攻撃は確率的であり、性能はプロンプト、モデルのバージョン、コンテキスト、防御策によって変化する。単一の成功や失敗だけでは、持続的な優劣は確立できない。

より良い問いは、システム設計に関するものだ。製品は情報源の来歴を維持し、行動を制限し、モデルの変更を明らかにし、生成された出力が気付かないうちに信頼された指示となることを防いでいるか。管理者は不審な挙動の後、その連鎖を調査できるか。

Microsoftは、悪意ある指示を阻止し、タスクをユーザーの要求に沿わせるために複数の安全策を用いていると述べている。また顧客に対し、更新プログラムの適用、多層保護の利用、未知のコンテンツへの不信、生成出力の確認を助言している。

Måløyは、より限定的な評価を示している。彼は、報告されたペイロードのブロックと、以前のメモリおよびメール経路への緩和策についてMicrosoftを評価している。それでも、公開時点でこの文書伝播型の脆弱性を完全に解決する顧客側の対策はないと述べている。

これらの主張は相互に矛盾しない。より広範な脆弱性が残っていても、Microsoftは防御を改善できる。セキュリティ制御は、攻撃カテゴリ全体を排除せずとも、確率と影響をしばしば低減する。

見解の違いは、顧客がこの残存リスクから何を読み取るべきかにある。Microsoftの表現は継続的な防御を強調する。Måløyの分析は、攻撃者が制御するコンテンツが組み込み型言語モデルに到達するたび、組織は何らかの侵害を想定すべきだと論じる。

このより強い主張は、すべてのCopilot構成で独立検証されたわけではない。公開報告書が記録しているのは、明示された条件下での概念実証であり、本番テナント全体における測定済みの感染率ではない。

Microsoft Simonの事例がまだ証明していないこと

この実証は深刻だが、自律的な大規模感染を立証したり、実在組織への悪用を確認したりするものではない。

Måløyの報告書は、架空の企業を使った制御下の概念実証シナリオを提示している。攻撃者がすでにこの手法を顧客に対して使ったとは主張していない。この開示には、公開されたインシデント件数、影響を受けたユーザー数、測定済みの成功率は付されていない。

この攻撃にはワークフロー上のトリガーも必要だ。悪意ある文書は、明示的な添付またはOneDriveからの取得を通じて、Copilotのコンテキストに入らなければならない。その後、ユーザーまたは自動化されたプロセスが生成文書を受け入れ、保存、あるいは再利用する必要がある。

Copilotは、アカウントからアクセス可能なすべてのWordファイルを単純に感染させるわけではない。モデルは運搬媒体を選択または受け取り、隠された指示に従い、それを正しく再現しなければならない。各段階には不確実性がある。

研究者は、自身の環境で直接添付と自動的な関連性選択の両方を実証した。後者では、Copilotは関連する社内ファイルとは別の場所に保存されていた悪意ある市場分析文書をOneDrive内で見つけた。

自動取得はユーザーの情報源に対する認識を低下させるため、この結果は注目に値する。しかし、さまざまなテナント、権限、トピック、文書コレクションにおいて、Copilotが仕込まれた文書をどの程度の頻度で選択するかは分からない。

ペイロードには、検出可能な隠蔽手法である白色テキストも使われていた。セキュリティツールは文書XMLを検査し、非表示の書式をフラグ付けし、レビュー用にファイルを正規化されたテキストへ変換できる。こうした制御は、この例を検知できる一方で、意味的に偽装された指示を見逃す可能性がある。

Måløyは正確なプロンプトを意図的に伏せており、独立した再現を制限している。この判断は直ちに悪用されるリスクを減らすが、外部の研究者はまだすべての詳細を監査できないことも意味する。The Registerは、Microsoftが完全な資料を受領後、この研究を確認したと報じた。

モデルの挙動も不確実性の要因である。あるテストで成功したプロンプトが、更新後や別のコンテキストでは失敗する可能性がある。逆に、あるペイロードがブロックされたからといって、脆弱性の分類全体が解消されたことにはならない。

したがって、microsoft simonという位置付けは正確であるべきだ。証拠が裏付けるのは、Copilot for Wordにおける、文書を媒介とした自己伝播型プロンプトの実証である。広範な感染拡大や従来型マルウェアの流行という主張は裏付けない。

リスク評価では、頻度とともに影響も考慮すべきだ。対象となる成果物に財務報告書、契約書、規制当局への提出書類、安全手順が含まれる場合、成功率が低くても重要になり得る。AI支援による繰り返しの再利用は、トリガーされる機会を数多く生み出す可能性がある。

企業は、検出の責任を従業員だけに負わせる対応を避けるべきだ。すべての情報源と出力を点検するようユーザーに求めることは、技術的な信頼の問題を、時間に追われるレビュー作業へ転嫁することになる。

妥当な対策には、Copilotのアクセスを承認済みリポジトリに限定すること、アップロードされた文書を隠しコンテンツについてスキャンすること、外部情報源を信頼済みテンプレートから分離することが含まれる。組織は、AI編集済みファイルが重要なワークフローに入る前に、人による承認を必須にすることもできる。

文書の来歴も同様に重要である。システムは、どの情報源が出力に寄与したか、Copilotがどの変更を提案したかを記録すべきだ。レビュー担当者には、単にきれいな最終文書ではなく、目に見える証拠が必要である。

セキュリティチームは、安全な社内演習を用いて自組織の構成をテストすべきだ。テストでは、添付元、取得の挙動、文書タイプ、権限、下流での再利用を変化させる必要がある。1つのテナントでの結果を普遍的なものとして扱うべきではない。

インシデント対応計画にも、文書の系譜を追跡する戦略が必要だ。運搬媒体が発見された場合、調査担当者は派生ファイル、受信者、保存場所、その後のCopilotセッションを特定しなければならない。最初に判明したファイルを削除しても、下流のコピーは取り除けない。

WordのAIワームが封じ込められたかを示す3つの兆候

次の試金石は、Microsoftが脆弱性の分類として伝播を止め、信頼できる系譜を可視化し、独立した再現検証に耐えられるかどうかだ。

第1の兆候は、既知の別のペイロードではなく、出力の伝播に対処するMicrosoftの緩和策である。意味のある更新なら、Copilotが信頼できない指示を生成文書へ気付かないうちにコピーすることを防ぐはずだ。言い換えやタスクの変化にも対応すべきである。

独立テストで運搬媒体の連鎖が断たれることが示されれば、そのような制御は信頼を高める。Microsoftが受け取ったプロンプトを止められたとしても、別の文言にしか対応しないブロックであれば、この結論は弱まる。

第2の兆候は、WordおよびMicrosoft 365内での来歴情報の改善である。ユーザーには、生成テキストとその参照文書を結び付ける永続的な記録が必要だ。また、最終ファイルに反映された変更を含め、モデルが実行した編集を目に見える形で追跡できなければならない。

来歴情報は、すべてのインジェクションを防ぐものではない。しかし、実証されたワームの追跡を困難にしている不可視性を低減する。また、影響を受けたファイルが1つ発見された後に、セキュリティチームが関連文書を特定する助けにもなる。

第3の兆候は、現行のCopilot構成全体にわたる独立テストである。研究者は、明示的な添付、OneDriveの取得、Edit with Copilot、その他の文書作成ワークフローを検証すべきだ。運用可能なペイロードを早まって公開することなく、条件と成功率を報告すべきである。

独立した再現に失敗すれば、最も広範な主張は弱まるが、アーキテクチャ上の問題が消えるわけではない。別の緩和策の後にも確実な再現が確認されれば、この脆弱性の分類が1人の研究者の環境を超えて依然として有効であることを示す。

現時点では、組織はCopilotが処理する外部由来のファイルを、信頼できないデータとして扱うべきだ。情報源の履歴が不明な社内生成文書にも、同じ注意を払うべきである。

実務上の問いはもはや、隠されたテキストが1回のチャットボット応答を欺けるかどうかではない。AIが作成した成果物が、次の信頼されたワークフローへ悪意ある意図を運べるかどうかである。microsoft simonの事例は、実証された条件下では可能だと示しており、Microsoftは多層的な安全策を引き続き改善していると述べている。

重大な業務でCopilotを利用する読者は、生成されたファイルを再利用する前に、まず一つ確認すべきです。すべての出典、AIによるすべての変更、そしてその中に潜むあらゆる指示を特定できるでしょうか。答えが「いいえ」であれば、その文書はまだ他者にとってのコンテキストとして信頼できる段階にはありません。