何が起きたか

攻撃の仕掛けは驚くほど素朴です。攻撃者はWord文書の中に、白背景に白文字・極小フォントで指示文を埋め込みます。人間の目にはページは空白にしか見えません。ところがCopilotは文書を処理する前に色とフォントサイズの情報を落とすため、隠された指示をそのまま「読める」テキストとして受け取ってしまいます。

決定的なのは、そこから先です。ユーザーがこの汚染文書をソースとして使うと、Copilotは隠し指示を実行するだけでなく、その指示を新しく生成したファイルにコピーします。生成物そのものが次の感染源になり、それをテンプレートとして使えば攻撃が再び発動する——だから「ワーム的」と表現されています。Måløy氏はペイロード本文の公開は控えています。

なぜ重要か

従来のプロンプトインジェクションは「一発勝負」でした。攻撃者が仕込んだ入力をAIが読んだ時点で被害が完結し、影響範囲は基本的にその1回のやり取りに閉じます。今回示されたのは、AIの出力が次の入力になる業務フローでは、汚染が世代を越えて伝播しうるという構造です。

The Decoderが挙げる伝播経路の例は生々しい。インターネットからダウンロードした市場分析レポートが汚染されていれば、それを参照して作った財務レポートが操作され、その財務レポートを参照した別のレポートがさらに汚染されていく。企業の文書作成は「過去の資料を下敷きにする」ことの繰り返しですから、感染の連鎖は理論上の話ではありません。

144日という数字が語ること

Microsoftは3月31日に挙動を確認しています。にもかかわらず、2度の修正試行が失敗し、144日後に研究者が未修正のまま公表する判断をしました。ここから読み取るべきは「Microsoftが怠慢だった」ではなく、プロンプトインジェクションが依然として未解決の技術課題だという事実のほうです。入力を検証すれば防げるバグではなく、指示とデータを区別できないという大規模言語モデルの構造そのものに由来するため、パッチ2回で塞げなかったこと自体が問題の性質を示しています。

AI研究者のAndreas Kirsch氏は最近、「AIのセキュリティリスクが実在すると懐疑派に納得させるために、誰かこういうワームを作ってくれないか」と冗談を言っていました。その冗談が数日後に実物として現れた格好です。

💼 事業会社視点：これは自社にどう効くか

日本企業にとって、これは「Copilotを止めるか」の話ではなくAI生成物の来歴管理の話です。

特に効くのは3つの立場です。第一に、外部レポートを引用して資料を作る経営企画・IR・調査部門。ダウンロードした市場分析をそのままCopilotのソースに投げる運用は、今日から見直す対象です。第二に、顧客から受領した仕様書やRFPをAIで要約する受託開発・コンサル。汚染文書は取引先経由で入ってきますし、自社が納品した成果物が次の感染源になれば信用問題に直結します。第三に、テンプレート文化の強い金融・製造の管理部門。「前期の資料をベースに」という最も一般的な作業手順が、そのまま伝播経路になります。

事業責任者が今週できる実務的な一手は、①外部由来ファイルをAIソースにする前に「すべて選択→文字色を自動・サイズ統一」またはプレーンテキスト化して不可視テキストを潰す手順を明文化する、②AI生成物を社外に出す前のレビューを人間必須にする、③どの文書がAI生成でどの文書を参照したかを記録に残す、の3点です。ベンダーの修正を待つ前提の統制設計は、144日という数字を見た以上、成立しません。