投稿者 投稿日: カテゴリー AIニュース
Copilotワームとは、Word文書に隠した指示が自己複製する攻撃のことです。
ノルウェーの研究者ホーコン・モーロイが2026年7月28日、Microsoft Copilot for Word を使った文書伝染型の攻撃を実証したと公表しました。攻撃者が仕込んだ見えない指示が、Copilotが作った次の文書へ勝手にコピーされ、社内の資料づくりを通じて広がっていくという内容です。Microsoft Security Response Center（MSRC）への報告は2026年3月6日で、合計144日の調整期間を経ても根本的な修正には至っていません。取引先から届いた資料をAIに読ませて商品説明や見積を作る運用は、日本のEC現場でもすでに一般的です。本記事は、EC支援19年・5,000社超の実績を持ち、AI導入支援は2023年から提供する株式会社オルセル（うるチカラ運営）が解説します。
Copilotワームで何が起きたか、144日の調整でも残った1つの穴
結論から書きますと、今回公表されたのは個別の不具合ではなく、現在の大規模言語モデルに共通する構造的な弱点です。CSO Onlineが2026年7月30日に報じた通り、攻撃者は被害者のMicrosoft 365テナントへ侵入する必要がなく、悪意ある文書を1つ共有するだけで足ります。
仕組みは単純です。攻撃者は文書の中に、白い背景に白い文字、小さなフォントサイズで指示文を仕込みます。人間の目には空白にしか見えませんが、Copilot for Word は文字色やフォントサイズといった書式を取り除いてからモデルに渡すため、その指示は完全に読み取られます。研究者が公開した実証レポートでは、四半期の財務レポートを下書きさせたところ、Copilotが財務数値をすべて半分に書き換えたうえ、同じ隠し指示を新しい文書の末尾へ白文字で追記しました。
厄介なのは第2段階です。いったん指示がコピーされた文書は、それ自体が新しい感染源になります。元の悪意ある文書がもう添付されていなくても、その社内文書を次の下書きの参考資料に使えば、同じ改ざんと複製が再び起きます。しかもその文書は自社の社員が正規の手順で作ったものなので、社内では疑われません。
Microsoftは調整期間中に複数の緩和策を投入しました。2026年4月3日には「Edit with Copilot」の新体験を、2026年7月14日には基盤モデルをGPT-5.5へ更新する対策を出しています。それでも研究者は翌15日に、当時最新のGPT-5.6でも攻撃の連鎖を再現しました。Microsoftは同誌宛ての声明で、多層防御で悪意ある指示を複数地点で遮断していると説明したうえで、最新の更新を適用し、出所の不明なコンテンツは慎重に扱い、AIが生成した内容は使う前と共有する前に確認するよう呼びかけています。
日本のEC事業者にとっての論点は、数字が静かに書き換わること
EC運営で怖いのは情報漏えいよりも、数字の改ざんだと考えています。いまの店舗運営では、メーカーから届く商品仕様書、卸の価格表、OEM工場の見積、物流会社の料金改定通知といった外部由来のファイルを、そのままAIに読ませて商品ページの説明文や社内の稟議資料へ変換する流れが定着しつつあります。ここで原価や送料や在庫数が静かに書き換わると、その誤った数字が価格設定と利益計算に直結します。
今回の攻撃が既存の防御をすり抜ける点も見逃せません。専門家のアマン・マハパトラは前掲のCSO Onlineで、配信時点では文書は悪意を持っておらず、Copilotが処理した瞬間に悪意を帯びるためメールセキュリティを回避し、利用者本人の認証済みセッションで動くためデータ漏えい対策も、コードが実行されないためエンドポイント保護もすり抜けると指摘しています。ウイルス対策ソフトが反応しない種類の攻撃だという理解が出発点になります。
一方で、脅威を過大評価しない視点も紹介しておきます。Fortraのタイラー・レギュリーは同じ記事で、外部から届いたWord文書をわざわざダウンロードして下書きの材料にするという条件が揃う必要があり、実験室的な脆弱性に見えると述べています。攻撃が自動的に全社へ広がるわけではなく、人かCopilotのワークフローが感染文書をコンテキストへ持ち込む必要がある、という点は正確に押さえるべきです。
なお、この問題はCopilot固有ではありません。Malwarebytesも、攻撃者が用意したコンテンツと信頼された指示が同じコンテキストウィンドウを共有するという、現行LLMの構造的弱点だと整理しています。自己複製する生成AIワーム自体はMorris IIの研究で2024年に示されており、OWASPのプロンプトインジェクション項目でも最上位のリスクとして扱われています。楽天市場やAmazon、Shopifyといった特定のモールの機能不具合ではなく、AIに資料を読ませる業務そのものの前提が問われています。
いま打てる3つの防御と、今後の展望
第一に、外部由来のファイルを信頼しない前提に切り替えることです。研究者自身も、取引先や外部サイトから入手した文書はCopilotで使う際に未信頼として扱い、生成物を再利用する前に確認するよう推奨しています。EC現場に落とすなら、卸やメーカーから届いた価格表をそのまま生成AIに投げる運用をやめ、必要な数値だけを人が転記して渡す形にするのが現実的です。
第二に、AIが勝手に資料を探しにいく挙動を絞ることです。IDCのフランク・ディクソンは、最も有効なレバーはモデルの外側にあり、人が選んでいないコンテンツをどれだけ取り込ませるかだと述べています。実際、研究者の実証では、被害者が文書を添付しなくてもOneDrive内を検索したCopilotが別フォルダの悪意ある文書を見つけて読み込んでいます。参照先は人が明示的に指定する運用へ寄せてください。
第三に、数値の突き合わせを工程として残すことです。価格、原価、送料、在庫数、掛け率といった意思決定に直結する数字は、AI生成物をそのまま採用せず、元資料と1対1で照合します。ディクソンも、重要文書についてはAIによる変更点を差分表示し、人が承認する運用は技術的な修正を待たずに今日から使えると述べています。誰がどのAIで何を作ったかを記録に残しておくと、後から追跡できる範囲が変わります。
今後の展望としては、短期的な完全解決は期待しにくいと見ています。研究者は、指示とデータを分けるだけでは足りず、その指示が利用者の目的と文脈に沿っているかを評価する必要があると述べています。ベンダー各社の緩和策は攻撃の成功率を下げますが、それだけを頼りにする設計は避けるべきです。なお、日本国内のCopilot利用企業への影響範囲や、日本語環境での再現性については公開情報から確認できないため、要確認とします。
まとめ
Copilotワームは、AIに読ませた資料の中の見えない指示が、生成された文書へ複製されて広がる攻撃です。144日の調整を経ても根本修正には至っておらず、日本のEC事業者としては、外部ファイルを未信頼として扱い、AIの自動探索を絞り、数字を人が照合するという3点を先に整えるのが現実的な打ち手になります。AI活用を止めるのではなく、検証工程を1つ足すという判断です。
うるチカラでは関連する論点として、プロンプトインジェクション対策の最新動向、AIエージェントを狙う改ざんリンクの事例、AIエージェントの権限設計、企業のAIエージェント事故実態も解説しています。
参考文献
- En Klype Salt – Context Collapse, Part 3 – AI Worming through Word
- CSO Online – Copilot worm can spread through Microsoft Word docs
- Malwarebytes – Hidden prompt turns Microsoft Copilot into an AI worm
- Microsoft Security Response Center
- OWASP – LLM01 Prompt Injection
- arXiv – Morris II: The Unleashing of Zero-click Worms that Target GenAI-Powered Applications
※うるチカラでは、生成AIの導入支援から運用最適化まで、貴社のEC事業に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://uruchikara.jp/contact/
引用元: CSO Online
【監修】齋藤竹紘（株式会社オルセル代表 / 19年・5,000社のEC支援実績）
株式会社オルセル代表取締役 / うるチカラ編集長。19年・5,000社以上のEC支援実績を持ち、楽天市場・Amazon・Yahoo!ショッピング・Shopify・Shopee越境ECの実装ノウハウを保有。AI×ECに関する書籍を3冊執筆。「現場で使えるAI実装」を一次情報として発信しています。
この記事を読んだ人は、こんな記事も読んでいます
