Microsoft CopilotにAI深刻な脆弱性が発覚：隠しパラメータを悪用したパスワード窃取が可能に

AIアシスタントは私たちの日常業務や生活に欠かせない存在となりつつあるが、それに伴うセキュリティリスクも日々高まっている。このほど、Ars Technicaが衝撃的な発見を報じた。MicrosoftのAIアシスタントCopilotに秘密の入力パラメータが存在し、攻撃者がこのパラメータを悪用することで、標的ユーザーがリンクをクリックするだけで、パスワードなどの機密情報を密かに窃取できることが明らかになった。

隠された「バックドア」パラメータ

セキュリティ研究者によると、この秘密パラメータは公開ドキュメントに記載された機能ではなく、Copilotの基盤アーキテクチャに潜在しているという。攻撃者が悪意ある命令を埋め込んだリンクを巧みに作成し、標的ユーザーにクリックさせると、このパラメータが起動する。CopilotはこれらのAI悪意ある命令をユーザーからの正当なリクエストと誤認し、ブラウザに保存されたパスワードの読み取り、ユーザーのプライベートファイルへのアクセス、さらには他のアプリケーションの呼び出しといった一連の操作を実行してしまう。

この発見は、AIアシスタントのセキュリティ問題を再び脚光のもとに引き戻した。従来のソフトウェア脆弱性とは異なり、AIアシスタントが直面しているのは「プロンプトインジェクション（Prompt Injection）」と呼ばれる攻撃手法だ。攻撃者はコードの欠陥を直接突くのではなく、巧妙に設計された入力によってAIの「思考」を乗っ取り、意図した通りの行動を実行させる。今回Copilotで発見された秘密パラメータは、まさにプロンプトインジェクション攻撃の高度な形態といえる。

「これはMicrosoft単独の問題ではなく、生成AI分野全体が直面する共通の課題だ。AIシステムが『ユーザーの真の意図』と『悪意ある命令』をいかに区別できるかが、高いセキュリティが求められるシナリオにおいてAIが信頼に値するかどうかを左右する」——あるセキュリティ研究チームはこう指摘する。

攻撃の経路を解説

現在判明している情報によると、攻撃者はまずCopilotへの命令を埋め込んだ悪意あるウェブページまたはリンクを作成する。ユーザーがMicrosoft Copilotを通じてそのリンクにアクセスすると、Copilotはページの内容を読み取るものの、どの内容が「データ」でどの内容が「命令」であるかを効果的に判断できない。そこに隠しパラメータが付け入り、Copilotが本来持つセキュリティポリシーを上書きしてしまう。その後、Copilotはユーザーが気づかないうちに、ブラウザに保存されたパスワードやセッショントークンを攻撃者のサーバーに送信する可能性がある。

注目すべきは、この攻撃手法がシステムレベルの脆弱性に依存していない点だ。そのため、従来のウイルス対策ソフトやファイアウォールでは遮断が困難である。AIモデルがコンテキストを理解する際の「盲点」を巧みに利用し、AI自身をスパイに変えてしまう。特に企業ユーザーにとっては危険が大きく、Copilotは企業メール、文書、社内システムへのアクセス権限を付与されていることが多いためだ。

AIへの信頼危機にどう向き合うか？

Microsoftはこの脆弱性についていまだ公式コメントを発表していないが、セキュリティ研究者はすでに一時的な防護策を提案している。具体的には、機密データディレクトリへのCopilotのアクセス権限を制限すること、ブラウザのパスワード自動入力機能を無効にすること、そして出所不明のリンクのクリックに細心の注意を払うことなどが挙げられる。

より長期的な視点から見ると、今回の事件はAI業界全体に警鐘を鳴らすものだ。AIアシスタントの「目的整合性（アライメント）」の問題はもはや無視できない。目的整合性とは、AIの行動がユーザーの真の意図と一致していなければならないことを指す。AIが命令の出所がユーザーなのか攻撃者なのかを判別できなければ、セキュリティが重視されるシナリオでの運用はリスクに満ちたものとなる。

また、規制面でも早急な対応が求められる。「秘密パラメータ」のようなバックドアが、ユーザーへの十分な周知なしに商業AIプロダクトに組み込まれる可能性があるのかどうか——これらの問いに対しては、企業と規制当局が共同で答えを出さなければならない。自分のAIアシスタントが完全に透明で監査可能であるかどうかを知る権利が、ユーザーにはある。

編集後記：AI時代の「トロイの木馬」に警戒を

古くは「トロイの木馬」、現代は「AIプロンプトインジェクション」。本質的にはどちらも信頼を逆用したものだ——ユーザーはソフトウェアを信頼し、ソフトウェアは入力を信頼する。しかしAI時代には、信頼の連鎖はより長く、よりもろくなっている。今回のCopilot脆弱性はその一端に過ぎず、今後AIアシスタントを標的とした攻撃手法はさらに増えると予想される。ユーザーとして警戒を怠らないことはもちろんだが、テクノロジー企業には強力なAI機能を提供する傍ら、セキュリティ設計を最優先に置くことを望みたい。そうでなければ、AIがもたらす利便性は最終的に、ユーザーのプライバシーを犠牲にする代償で成り立つことになりかねない。

本記事はArs Technicaより編訳