Copilot for Wordのプロンプトインジェクション「ワーム」とは？文書が感染源になる新手口を解説

何が起きたか

セキュリティ研究者のHåkon Måløy氏が、Microsoft Wordに対するプロンプトインジェクションを「自己複製するワーム」へと引き上げる新しい亜種を文書化しました（2026年7月29日時点の報告）。

手口の骨格はシンプルです。攻撃者は文書の中に人間には見えない指示を埋め込みます。その文書がCopilot for Wordで参照資料として使われると、Copilotは隠された指示をユーザーの依頼の一部として解釈し得ます。結果として、作成・編集中の文書が攻撃者の意図どおりに操作されるだけでなく、隠し指示そのものが新しい文書へコピーされることがあります。

ここが従来と決定的に違う点です。コピー先の文書は、次に誰かがCopilotを使って作業したときに再び指示を発火させる「キャリア（運び手）」になります。攻撃者が最初に仕込んだ文書がもう存在しなくても、感染は連鎖していきます。

なぜ重要か

白背景に白文字といった隠しテキスト自体は新しくありません。Måløy氏は、求職の応募書類でも使われている手口だと指摘しています。既知の悪知恵です。

新しいのは「複製を意図的に組み込んだ」点です。従来のプロンプトインジェクションは、汚染された入力を読ませた1回のセッションで完結する単発の事故でした。複製が加わると、性質がまったく変わります。1件の汚染文書が、社内のレビュー・引用・テンプレート流用という正規の業務フローに乗って拡散するからです。文書は社内で回覧され、引用され、テンプレートとして再利用されます。その動線がそのまま感染経路になります。

対策の現状

この問題はMicrosoftに責任ある開示の手順で報告され、同社には144日の対応期間がありました。それでも報告時点で、この攻撃クラス全体をカバーする緩和策は存在しません。

個別のパターンを塞ぐパッチは書けても、「文書に書かれた文字列」と「ユーザーの指示」をLLMが原理的に区別できないという構造は残ります。144日という数字は、Microsoftの怠慢の指標ではなく、この問題の難しさの指標として読むべきです。単発のバグではなく、LLMに外部データを読ませるアーキテクチャそのものに内在する課題だからです。

💼 事業会社視点：これは自社にどう効くか

最も影響が大きいのは、Microsoft 365を全社標準にしてCopilotを部門横断で展開中の日本企業です。Copilotの社内展開は「議事録・提案書・報告書の下書きを既存文書から作る」ユースケースが中心で、これは今回の感染経路とほぼ一致します。外部から受け取った文書——RFP、取引先の仕様書、応募書類、コンサルの納品物——を参照資料としてCopilotに読ませる運用が、そのまま入口になります。

受託開発・SIerは二重のリスクを負います。顧客から預かった仕様書が汚染されていた場合、自社のCopilotで作った成果物が汚染を顧客へ持ち帰る「運び手」になり得ます。納品物が感染源になった時の責任分界は、現行の業務委託契約でほぼ想定されていません。

役員が今週やるべきことは3つです。第一に、Copilot利用ガイドラインに「社外由来の文書を参照資料として直接投入しない」を明記し、テキストのみ抽出して貼り直す運用に変える。第二に、社外へ出す文書のプレーンテキスト化・書式クリーンアップを納品前チェックに組み込む。第三に、セキュリティ投資の前提を更新することです。144日かけても攻撃クラス全体の緩和策が出ていない事実は、「ベンダーのパッチを待つ」戦略が今回は機能しないことを意味します。防御線は自社の運用ルール側に引くしかありません。