Copilot for Wordに「AIワーム」脆弱性——Wordファイルが感染源になるしくみを解説
Microsoft Copilot for Wordに、外部から仕込まれた悪意ある指示が文書を通じて自動伝播する脆弱性が報告されました。研究者がMicrosoftに開示してから144日が経過した現在も、根本的な修正は完成していない状態で公開された、かなり重みのある報告です。
そもそも「AIワーム」って何ですか？
コンピュータウイルスの一種に「ワーム」があります。自分自身をコピーしながら次々と別のファイルやシステムへ感染していく種類のマルウェア（悪意あるソフトウェア）です。
今回話題になっているのはその「AI版」です。悪意ある文章（指示文）がAIに読まれたとき、そのAIが知らず知らずのうちに別の文書へ同じ指示をコピーしてしまう——という挙動を利用します。文書がワームの「卵」になるイメージです。
過去には「Morris II」という研究事例がありました。AIを使ったメールアシスタントが標的で、メールを介してプロンプト（AIへの指示）が自己増殖することが示されました。今回はそれを「Wordの通常業務フロー」に拡張した形であり、研究者は「一般向けの主要な商用生産性スイートで文書型AIワームの自己伝播を公開実証した例としては、知る限り最初期のもの」と位置づけています。
具体的に何が起きるのですか？
研究者が示した流れを、できるだけ平易に再現します。
- 攻撃者が外部Webサイト上のWordファイルに「隠し指示」を埋め込む。普通に見ても気づきにくい形で、Copilotへの命令文が潜んでいます。
- 社員がそのファイルを調査資料としてダウンロードし、Copilot for Wordを使って社内レポートを作成する。Copilotは資料を「ユーザーの文章」として読み込みますが、そこに埋め込まれた隠し指示も一緒に解釈してしまいます。
- Copilotは指示に従い、作成中のレポートの数字を書き換えると同時に、隠し指示そのものを新しいレポートにもコピーする。
- その社員が完成したレポートを同僚に共有し、同僚がまたCopilotで別の報告書を作ると、同じ指示が再び発動して別の文書に感染する。
攻撃者が最初に仕込んだドキュメントは、もはや存在しなくても構いません。感染は「通常のビジネス文書の使い回し」だけで連鎖します。
「隠し指示」とはどういう状態ですか？ 見た目でわかりますか？
この種の攻撃は「クロスドメイン・プロンプトインジェクション攻撃（XPIA）」と呼ばれます。「プロンプト」はAIへの指示文のこと、「インジェクション」は注入の意味です。
隠し指示は、人間の目には見えにくい形で文書に埋め込まれている場合があります（たとえば白い背景に白い文字など）。AIは文書全体をテキストとして処理するため、人間が見落としても拾ってしまいます。「見た目が正常だから安全」とは言い切れない点が、この攻撃の厄介なところです。
Microsoft Copilot for Wordだけが対象ですか？
今回の報告書が対象としているのは Microsoft Copilot for Word です。
この種のプロンプトインジェクションの問題はCopilot固有ではなく、「外部コンテンツを読み込んでAIが処理する」仕組みを持つ製品全般に原理的なリスクがあります。ただし今回の報告書が実証し、Microsoftと協調開示したのはCopilot for Wordでの事例です。他製品への拡大解釈は行わないよう注意が必要です。
Microsoftはいつ知っていて、今どうなっていますか？
開示の経緯は以下のとおりです。
| 日付 | できごと |
|---|---|
| 2026-03-06 | 研究者がMSRC（Microsoft Security Response Center）に初期報告 |
| 2026-03-09 | MSRCが受理・ケースを開設 |
| 2026-03-31 | Microsoftが問題の挙動を確認 |
| 2026-04-03 | 最初の緩和策「Edit with Copilot」体験の更新を展開 |
| 2026-04-09 | 新しい手法で攻撃が再現可能と確認。別ケースとしてMSRCに追加報告 |
| 2026-07-28公開 | 合計144日間の調整期間を経て研究者が公開 |
本来の協調開示期間は90日でしたが、2回延長されて144日になりました。それでも根本的な修正には至っておらず、研究者は「守る側が知らないリスクには対処できない」という判断のもと、攻撃の具体的な手口（ペイロード）ではなく脆弱性クラス（仕組みの概念）レベルで公開しました。
今すぐできる対策はありますか？
Microsoftが推奨する利用者側の対策は次の3点です。ただしこれらは根本的な修正ではなく「被害を受けにくくする」ための暫定対応です。
- 外部から入手したドキュメントをCopilotで使用する際は、信頼できない素材として扱う。取引先や公開Webサイトから受け取ったWordファイルがそのまま「安全」とは限りません。
- CopilotでAI生成・AI編集を始める前に、添付・参照するドキュメントを人間の目で確認する。
- CopilotがAI生成・AI編集した文書を他者と共有・配布する前に、内容をよく確認する。
完全に防ぐ方法は現時点では存在しない、という点が正直なところです。
なぜこんなに対策が難しいのですか？
根本的な難しさは、「AIが受け取った文章を"データ"として処理するか"命令"として処理するかを確実に区別できない」ことにあります。
たとえば人間なら「この文書は参考資料だから、書いてある内容を命令として実行する必要はない」と判断できます。しかし現在のAIは自然言語（普通の言葉）で書かれた資料と命令を、同じテキストとして受け取ります。攻撃者はその性質を利用します。
Microsoftはモデルのアップグレードを含む2回の緩和策を試みましたが、どちらも攻撃クラスの根本的な封じ込めには至りませんでした。これはMicrosoft固有の技術的未熟さというより、現在のLLM（大規模言語モデル、つまり文章を生成するAIの中核技術）が抱える構造的課題の一面です。
「Morris II」との違いは何ですか？
研究者が参照しているMorris IIは、AIを使ったメールアシスタントで自己増殖プロンプトが伝播することを示した事例です。
今回との主な違いは舞台が「メール」から「Wordの通常業務ドキュメント」に移った点です。メールは比較的「外部からの入力」という意識がありますが、社内で使い回されるレポートや分析資料はより「安全なもの」として扱われがちです。信頼されているファイルほど、検査なしにCopilotの素材として使われやすく、感染が広がりやすい環境ともいえます。
この問題、個人ユーザーにも関係しますか？
Copilot for Wordを使っているなら、個人であれ法人であれ関係します。特に業務で外部から受け取ったドキュメントをCopilotで処理している人は、意識しておく価値があります。
ただし現時点での攻撃の成立には「攻撃者が細工したドキュメントが実際に流通している」必要があります。今すぐすべてのWordファイルが危険というわけではありませんが、「外部入手ドキュメント＋Copilot」の組み合わせには注意が高まった、という認識が適切です。
以上です。なるほどラボでは、こうしたAIを「自分の環境で動かしたい・24時間働かせ続けたい」という方向けの情報を発信しています。自分に合った動かし方が気になる方は、無料の診断をどうぞ。