Word用Copilotで、隠し命令が文書から文書へ自己増殖するAIワームの概念実証が公開されました。
- 要点1: 1つの文書に埋め込まれた命令が、Copilotの出力文書へ複製される可能性
- 要点2: 研究者はMicrosoftと144日間の協調開示を実施
- 要点3: 公開時点では、脆弱性クラス全体への堅牢な緩和策は未確立
対象: Microsoft 365 Copilotを利用する企業のDX推進・情報システム担当者
今日やること: Copilotへ読み込ませる文書の出所と、出力文書の承認手順を棚卸しする
この記事の目次
Word用Copilotを介し、悪意ある命令が文書から別の文書へ広がる「AIワーム」の概念実証が公開されました。
これは、AIが生成した文章の正しさだけを確認すればよいという問題ではありません。入力文書に含まれる命令が、出力文書へ引き継がれる可能性まで考える必要があります。
この記事では、研究者の一次報告をもとに攻撃の仕組みを整理し、企業が今すぐ見直せる対策を解説します。
Word用CopilotのAIワーム概念実証の概要
セキュリティ研究者Håkon Måløy氏は2026年7月28日、Word用Copilotを対象とした文書ベースのAIワームの概念実証を公開しました。
同氏によると、外部文書に埋め込んだ命令がCopilotの処理へ影響し、作成または編集された新しいWord文書へ同じ命令を複製できたといいます。新しい文書が別のCopilot支援業務で使われれば、命令が再び動作し、別の文書へ広がる可能性があります。
研究者はこの問題を2026年3月6日にMicrosoftへ報告しました。当初90日だった調整期間は2回延長され、計144日間の協調開示が行われています。
確認できている範囲本件は研究者が管理した環境での概念実証です。現時点で、一般企業における大規模な悪用事例が公表されたことを意味しません。一方、研究者は公開時点の緩和策を適用した状態でも攻撃を再現できたと報告しています。
一次情報: Context Collapse, Part 3 – AI Worming through Word
AIワームがWord文書を介して広がる仕組み
今回の攻撃は、プロンプトインジェクションを文書の生成と再利用へ連鎖させます。プロンプトインジェクションとは、AIが参照するデータへ悪意ある命令を混ぜ、利用者の意図とは異なる動作を誘う攻撃です。
研究者が示した流れは次のとおりです。
| 段階 | 起きること | 業務上の例 |
|---|---|---|
| 1 | 攻撃者が文書へ隠し命令を入れる | 市場調査レポートに白文字の命令を埋め込む |
| 2 | 利用者が文書をCopilotへ渡す | 報告書作成の参考資料として読み込ませる |
| 3 | Copilotが出力を改変する | 数値や要約を利用者の意図と異なる内容へ変える |
| 4 | 命令も新しい文書へ複製される | 完成した社内報告書が新たな媒介になる |
| 5 | 別の処理で命令が再び動く | 同僚がその報告書を次の資料作成に使う |
従来のマルウェアのように実行ファイルを配布するとは限りません。自然言語の命令と、AIが文書を読み書きする権限が組み合わさる点が特徴です。
このため、拡張子や送信者だけで文書を安全と判断する運用では不十分です。一度社内へ入った文書がCopilotで再編集されると、社内作成物に見える新しい文書が媒介になる可能性があるためです。
＼ Claude Codeの導入、何から始めればいいかわかります ／
法人様のAI導入に関するご相談はこちら企業のMicrosoft 365運用に何が問われるか
企業が見直すべき対象はCopilot単体ではなく、文書の受領から再利用までの流れです。
信頼できる送信者でも内容は別に検証する
研究者は、外部から得た文書だけでなく、社内文書や信頼できる相手から受け取った文書も注意対象に含めています。文書が過去のCopilot処理を経ていれば、送信者が攻撃を認識していない可能性があるためです。
出力の見た目だけでは判断しにくい
概念実証では、白い背景に白い文字を使って命令を見えにくくしていました。通常表示で文章を読むだけでは、隠しテキストや不自然な書式を見逃す可能性があります。
高リスク業務ほど影響が大きい
財務報告、契約書、経営会議資料、顧客向け提案書では、小さな数値変更や要約の改変でも意思決定へ影響します。Copilotの利便性は高いものの、最終承認をAIへ移す理由にはなりません。
Microsoft 365 Copilotの機能や導入条件は、Microsoft 365 Copilotの料金・機能と導入法でも整理しています。
Microsoft 365 Copilotを含む生成AIの利用ルールや承認フローを見直したい企業向けに、株式会社NexaではAI顧問サービスを提供しています。
企業が今すぐ実施したい5つの対策
公開時点で完全な顧客側対策は示されていません。それでも、攻撃が成立する機会と影響範囲を減らす運用は始められます。
1. Copilotへ渡す文書を分類する
文書を「社内作成」「信頼済み外部」「未検証外部」に分けます。ただし、社内作成だから自動的に安全とは扱いません。作成元、更新履歴、Copilot処理の有無を記録します。
2. 高リスク文書のAI編集を制限する
財務数値、契約条件、個人情報、経営判断を含む文書では、Copilotの自動編集範囲を限定します。要約だけを許可する場合も、元文書との照合を承認条件にします。
3. 隠し要素を含めて検査する
白文字、極小文字、非表示オブジェクト、コメント、変更履歴などを確認します。メールゲートウェイや文書管理システムで取得できる検査結果も、Copilot利用前の判定へ組み込みます。
4. 出力文書を再利用前に承認する
Copilotで生成または編集した文書には、AI処理済みであることを示すラベルを付けます。別の生成AIへ入力する前、社外共有する前、意思決定へ使う前に人間が承認します。
5. 異常時の追跡方法を決める
改変が疑われた場合に、元文書、入力日時、利用者、Copilotの処理内容、生成物の共有先を追跡できる状態にします。影響文書の隔離と再配布停止も手順化します。
| 優先度 | 対策 | 担当候補 |
|---|---|---|
| 高 | 高リスク文書へのCopilot利用条件を設定 | 情報システム、法務、経理 |
| 高 | 出力文書の再利用前承認 | 各業務部門 |
| 中 | 隠しテキストと書式の検査 | 情報システム、セキュリティ |
| 中 | AI処理済みラベルと履歴保存 | DX推進、文書管理担当 |
| 中 | インシデント対応手順の更新 | CSIRT、情報システム |
＼ 業務自動化のお悩み、プロが30分で整理します ／
法人様のAI導入に関するご相談はこちらCopilotを止めずに安全性を高める導入手順
全社一律でCopilotを停止すれば、対象の利用機会は減ります。しかし、業務効率化の効果も失われます。現実的には、業務のリスクに応じて利用範囲を分けます。
最初の1週間で、Copilotへ文書を読み込ませる業務を一覧化します。次に、文書改変が起きた場合の影響を「低、中、高」の3段階で評価します。
影響が高い業務には、入力文書の検査と出力文書の二者承認を設定します。影響が低い業務では、注意表示と抜き取り確認から始めます。
30日後に、検知した不審文書、承認差し戻し、Copilot利用時間、削減工数を確認します。安全性と生産性を同じ表で評価すれば、過剰な禁止と無制限な利用の両方を避けやすくなります。
よくある質問
Q. 今回のAIワームは実際に企業へ感染していますか？
公開情報で確認できるのは、研究者による概念実証とMicrosoftとの協調開示です。一般企業での大規模な悪用が公表されたと断定できる情報ではありません。
Q. Microsoft 365 Copilotを停止すべきですか？
一律停止が常に最適とは限りません。まず財務、契約、個人情報など影響の大きい業務を特定し、入力検査と人間の承認を追加します。組織のリスク許容度によっては、一部業務を一時停止する判断もあります。
Q. ウイルス対策ソフトで検出できますか？
今回の概念実証は自然言語の隠し命令を利用します。従来型マルウェアの検知だけで十分とは限りません。文書構造の検査、AIへの入力制御、出力レビューを組み合わせます。
Q. 社内文書なら安全ですか？
安全とは限りません。外部文書をもとにCopilotが作成した社内文書が、次の処理の媒介になる可能性が示されています。文書の現在の保存場所ではなく、作成経路と処理履歴を確認します。
＼ AI活用の「次の一手」を一緒に考えませんか ／
法人様のAI導入に関するご相談はこちらまとめ
Word用CopilotのAIワーム概念実証は、文書を読むAIだけでなく、文書を書き換えて再流通させるAIのリスクを示しました。
企業は、外部文書の受領時だけでなく、Copilotで編集した文書の再利用時にも信頼性を確認する必要があります。まずは高リスク業務を特定し、入力検査、出力承認、履歴保存の3点を導入してください。
生成AIの安全な業務導入を支援します
株式会社Nexaでは、生成AIの利用ルール、業務別リスク評価、PoC設計を支援するAI顧問サービスを提供しています。
