何が起きたか
Varonisは、Microsoft Copilotに公開ドキュメントに存在しないURLパラメータ autorun=1 があることを突き止めました。多くのAIアシスタントと同様、CopilotはURLにプロンプトを載せられます。URLのベース部分でGmailなどのサービスを開かせ、その右側のパラメータやテキストで「受信箱を要約せよ」「メールの下書きを始めよ」といった指示を渡す、という構造です。
本来こうした命令は、ユーザーの承認なしに実行されない設計になっているはずでした。autorun=1 は、その承認プロセスをまるごと迂回する手段になっていました。
Varonisが火曜に公開したブログでは、攻撃が5つのステップとして整理されています。①被害者がメール・チャット・フィッシングページ・QRコードなどで届いた細工URLをクリックする、②ブラウザが被害者のログイン済みセッションで copilot.microsoft.com を読み込む、③?autorun=1 が自動実行を起動し ?q= のプロンプトがユーザーの操作なしに発火する、④Copilotがセッションのコンテキスト・連携アプリ・メモリへのフルアクセスを持ったままそのプロンプトを処理する、⑤ネットワーク取得や外部コネクタ呼び出し、複数ターンのやり取りを含めて最後まで実行される——読み込み直後にCopilotのタブを閉じても、です。
実証されたプロンプトの中身
デモの一つは、受信箱を検索して最新の受信メールを特定し、最新の送信者のメールアドレスだけを抽出、それを SUPPORT という変数に格納し、webhook.siteのURLに埋め込んで「そのURLを要約して」と命じるものでした。要約という無害に見える動作が、そのまま外部への送信になります。
同じURL形式に載せられる別のプロンプトは、受信箱を「パスワードや認証情報」で検索させ、見つかった秘密情報を同じ経路で攻撃者のサーバーへ流します。抜き取られたデータは、窃取を隠しつつ通信エラーを避けるためbase64に変換された上で別のURLに付加され、Copilotが被害者の端末上でそのURLを自動的に開く仕組みでした。
メモリ汚染という二の矢
Varonisはさらに、Webページに仕込んだプロンプトインジェクションでCopilotの永続メモリを汚染する攻撃も作っています。このメモリはユーザー情報・好み・指示を保存し、以降のセッションで再利用するためのものです。ユーザーが汚染ページの要約を頼むと、Copilotはページのメタデータに隠された指示に従ってメモリを書き換えました。
Varonisによれば、この手口は出力の転送、情報のフィルタリング、攻撃者が選んだ筋書きへの回答の誘導、特定の条件が揃ったときの任意アクション実行に使えます。
なぜこれが従来のフィッシングと違うのか
注目すべきは、被害者が入力する情報がゼロだという点です。従来のフィッシングは偽ログイン画面に認証情報を打たせる必要があり、そこに「気づく」余地がありました。今回は、正規ドメインである copilot.microsoft.com のリンクを一度クリックするだけで完結します。ドメインは本物、TLSも正常、認証も自分自身のもの——ユーザー教育で教えてきた「見分け方」がすべて空振りします。
そしてautorun=1という単発のパラメータが問題の本体ではありません。AIアシスタントに社内メールやSaaSコネクタへのアクセス権を与えた時点で、「アシスタントに届く文字列はすべて実行され得る命令」という前提が生まれます。URLパラメータ、Webページのメタデータ、受信メールの本文——入力経路はいくらでも増えます。メモリ汚染はその持続化版で、一度書き込まれれば後続の全セッションに効き続けます。
💼 事業会社視点：これは自社にどう効くか
日本企業の役員がまず点検すべきは、Copilotに何を接続したかの棚卸しです。メール・SharePoint・社内チャットを繋いだ瞬間、その全データが「クリック1回で到達可能な範囲」に入ります。特にM365を全社導入し、コネクタ設定を情シスの裁量に任せている企業は、誰がどのデータソースを繋いだかを把握できていないケースが多いはずです。
ECや金融など個人情報を扱う事業では、カスタマーサポート担当者の受信箱が最大の弱点になります。顧客から届いた問い合わせメールに含まれる個人情報が、サポート担当への1通の細工メールで外部に流れる構図です。サポート業務用アカウントとAIアシスタントの連携は、業務効率と引き換えに事故の影響半径を一気に広げます。
受託開発・SaaS事業者は立場が二つあります。自社利用者としての防御に加え、自社プロダクトにAIアシスタント機能を載せているなら、URLパラメータからのプロンプト受け入れ、外部URLの自動フェッチ、永続メモリへの書き込み——この3点を今すぐ設計レビューすべきです。Varonisのメモリ汚染デモが示したのは、「要約して」という最も普通のユースケースが書き込み経路になり得るという事実です。
打ち手は3つ。①AIアシスタントからの外部ドメインへのアウトバウンド通信をプロキシで制限する、②機密メールボックスとAIコネクタの接続を職務単位で切り分ける、③永続メモリ機能の棚卸しと、監査ログでメモリ更新を追跡できるかの確認。ベンダーが直せば済む話として先送りせず、自社側の設定で影響半径を縮めるのが現実的です。
