MicrosoftのWord用Copilotを標的にした文書ベースで自己増殖するAIワームが初めて実証される

MicrosoftはWordやExcelといった事務用ソフトウェアをまとめたオフィススイートに、生成AIアシスタントのCopilotを統合しています。新たに、そんなWord用Copilotを標的にした文書ベースで自己増殖するマルウェア「AIワーム」の有効性を、セキュリティ研究者のホーコン・モーレイ氏が初めて実証しました。

Context Collapse, Part 3 - AI Worming through Word | En Klype Salt
https://enklypesalt.com/posts/context-collapse-part3-ai-worming-through-word/

Word worm crawls into Copilot, spreads chaos
https://www.theregister.com/security/2026/07/29/word-worm-crawls-into-copilot-spreads-chaos/5280588

Microsoftは生成AIアシスタントのCopilotに注力しており、2026年4月にはWord・Excel・PowerPointを直接操作できるエージェント機能が正式にCopilotに実装されました。これにより、ユーザーはCopilotを利用して事務関連の高度なタスクを実行できるようになっています。

MicrosoftがWord・Excel・PowerPoint用Copilotエージェント機能を正式リリース - GIGAZINE

ところがモーレイ氏は2026年7月28日、「Wordで作成・編集された文書を改ざんし、自己増殖して新しい文書にも拡散しうるAIワーム」の概念実証に成功したと発表しました。モーレイ氏が知る限りでは、これは主流の商用生産性スイートにおける通常のワークフローを通じ、文書経由で自己増殖するAIワームの初の公開実証例だとのこと。

モーレイ氏が実証したAIワームによる攻撃ワークフローは以下の通り。

1：攻撃者が、後にWord用Copilotで使用される文書に隠された指示(AIワーム)を挿入する。
2：ユーザーが文書をCopilotに読み込ませると、Copilotが隠された指示をユーザーの要求だと解釈し、作成・編集中の文書を指示通りに改ざんする。
3：Copilotは元の文書に隠された指示を、新しい文書にもばれないようにコピーする。
4：Copilotにより作成・編集された文書が別のCopilot支援ワークフローで使用されると、指示がさらに別の文書にも拡散する。

以上のような流れで、AIワームは攻撃者の手を離れた範囲で自己増殖を続け、気が付いた時には感染源を確かめることすら困難になっている可能性があります。モーレイ氏は、「この攻撃は侵害されたウェブサイトや元の悪意のある文書が関与することなく継続できます。攻撃者は被害者のMicrosoft 365テナントにアクセスする必要はなく、悪意のある文書を被害者と共有するだけでいいのです」と述べています。

AIワームのプロンプトは、要約の意味を変更したり数値を改ざんしたりするなどの「文書に影響を与える方法に関する指示」と、「AIワームを自己増殖させるための指示」の2つの部分で構成されていました。モーレイ氏の概念実証では、白い背景に白い文字でプロンプトを書き込んだそうで、ユーザーが目視で元の文書をチェックしても問題を見抜けないようになっています。

以下のスクリーンショット下部のぼやけた部分が、モーレイ氏が作成したAIワームのプロンプトです。なお、このスクリーンショットではプロンプトが見やすいように背景や文字の色が変更されていますが、実際には白い背景に白い文字で書かれるため読めません。同様のプロンプトが新しい文書にもこっそりコピーされることで、AIワームが自己増殖していくという仕組みです。

モーレイ氏は、今回のAIワームの概念実証について2026年3月6日にMicrosoftへ通知しており、その後はAIワームの緩和策を探すためにMicrosoftと協力してきました。Microsoftはセキュリティレベルを向上させる複数の修正プログラムを展開したものの、モーレイ氏がプロンプトを修正することで突破されてしまったとのこと。

Microsoftが有効な緩和策を見つけられなかったためAIワームの公表は2度延期されましたが、合意していた調整期間である144日を過ぎたため、モーレイ氏は「この広範な脆弱(ぜいじゃく)性クラスに対する確実な対策は今のところ存在しない」と判断して公表に踏み切りました。

そもそもAIツールが役立つためにはメール・文書・ウェブページなどのデータを処理する必要がありますが、これらは攻撃者によって制御されている可能性があります。また、AIツールが元となるデータに攻撃が含まれているかどうかを判断しようとしても、その判断自体に攻撃者の指示が影響している可能性を排除しきれません。

モーレイ氏は、「今日の大規模言語モデルを信頼できるワークフローに統合するシステムは、攻撃者が制御するコンテンツがモデルのコンテキストに入り込むと、ある程度の割合で侵害が発生することを想定しなければなりません」と述べています。

モーレイ氏は、現時点で顧客側ができる完全な対策はないものの、「Copilotを使う際は外部から入手した文書をすべて信頼できないものとして扱うこと」「Copilotに文書を入力する前に、中身や安全性を完全に確認すること」「Copilotで作成・編集した文書を送信する前に文書の内容を完全に確認すること」を推奨しています。なお、AIワームは自己増殖するため、ここでの「外部から入手した文書」には社内で作られた文書や信頼できる相手から送られてきたデータなどもすべて含まれます。

このアドバイスに対し海外メディアのThe Registerは、「もし実際に文書の内容を読まなくてはいけないのであれば、Copilotをプロセスから外して、自分で考えた方がいいでしょう」とコメントしました。