Word文書で増殖するAIワームとは
Word文書で増殖するAIワームとは、Microsoft の Copilot for Word を悪用して文書から文書へ自分自身を複製していく攻撃です。研究者はこれを「document-borne AI-worm（文書を媒介とするAIワーム）」と呼んでいます。
ワーム（worm）は本来、他のプログラムに寄生せず自力で増殖するマルウェアを指す言葉です。今回の攻撃が特異なのは、増殖しているのがプログラムではなく文章で書かれた指示だという点にあります。この攻撃を報じたセキュリティ企業 Malwarebytes は、マクロや従来型のマルウェアを使わずに通常の文書共有の流れを通じて広がる、と説明しています。
The attack silently alters documents and embeds its own hidden instructions into newly created files, allowing it to spread through normal document-sharing workflows without macros or traditional malware. — マクロや従来型マルウェアを用いない拡散という性質に関する記述より
攻撃者が必要とするのは「文書を1つ共有すること」だけ
前提条件はきわめて軽いものです。攻撃者は被害者の Microsoft 365 テナント（組織ごとに割り当てられる契約単位の環境）へアクセスする必要がありません。悪意ある文書を1つ、相手に共有できればそれで足ります。共有の手段も SharePoint・Teams・Outlook など何でもよいとされています。
つまり社外から届いた1通の添付ファイル、あるいは信頼しているサイトからダウンロードした資料が入口になり得ます。侵入経路を塞ぐという発想が効きにくい構造です。
The attacker does not need access to the victim's Microsoft 365 tenant. The attacker only needs to share a malicious document with the victim. This can be done through SharePoint, Teams, Outlook or any other way of sharing documents. — 攻撃の前提条件に関する記述より
書式を剥がす仕様が、そのまま隠し場所になる
隠し方の核心は、Copilot for Word の処理手順にあります。攻撃者は JSON 形式で書いたプロンプトを、白い背景に白い文字・小さなフォントサイズで文書に埋め込みます。人間の目には空白にしか見えません。
ところが Copilot for Word は、文字色やフォントサイズといった書式をすべて取り除いてから中身を言語モデルへ渡します。この時点で「見えない文字」という区別は消え、隠されたテキストは他の本文とまったく同じ扱いになります。見た目上は無害な資料に見せかけたうえで、末尾に攻撃を仕込むこともできると説明されています。
文書に何が書かれているかを確かめたいときは、書式を落としたテキストとして読み直すのが確実です。見た目で判断せず、中身を平文に変換して確認するというのが、この手口に対する最も素朴な防御になります。
無料ツールWordマークダウン変換Word（.docx）をマークダウンに変換。見出し・表・リストを保持し、ブラウザだけで完結するので機密文書も安全です。今すぐ使ってみる →
The malicious document contains a JSON-formatted malicious prompt that triggers the attack when the document is included in Copilot's context. The prompt can be rendered as white text on a white background and in a small font size to conceal it from the victim. Since Copilot for Word strips all text formatting like color and font size before passing the text into the underlying Large Language Model (LLM), this text remains fully readable to Copilot even though the victim cannot see it. — 隠蔽の手法と、書式除去によって読めてしまう仕組みに関する記述より
「信頼の境界」がどこで壊れているのか
研究者は、この問題を境界の設計として説明しています。守るべき境界は、添付された文書と、いま作成中の文書とのあいだにあります。
Copilot は、どの部分を取り込むべきかを判断するために添付文書をすべて読まなければなりません。ただし読むこと自体は問題ではなく、添付文書は「信頼できない情報」として扱われるべきで、「利用者からの信頼できる指示」として扱われてはならない、というのが研究者の指摘です。Q1の財務報告書を作らせるとき、Copilot は添付文書の情報を使うべきですが、そこに埋め込まれた指示を権威ある命令として受け取るべきではない、という整理になります。
Copilot must read every attached document to determine which parts to include in its current drafting task. However, attached documents should be treated as untrusted information, not trusted user instruction. ／ When a user asks Copilot to draft e.g. a Q1 financial report based on attached documents, Copilot should utilize the information in the attached documents without treating instructions embedded within documents as authoritative instructions. — 守られるべき信頼境界と期待される挙動に関する記述より
2段階で広がる仕組み
攻撃は2つの段階に分かれています。1段階目で足がかりを作り、2段階目で自己増殖に入る構成です。
攻撃の2段階（研究者の実証による）
第1段階：数字が静かに書き換わる
実証で使われたのは、Tfosorcim Ltd.（トフォソルシム社。Microsoft を逆から綴った架空の社名）という企業の市場分析資料でした。この資料を素材として Copilot に四半期の財務報告書を作らせると、出来上がった報告書では財務数値がすべて半分になっていました。
注目すべきは、研究者が実験の過程で気づいたことです。多くの実験で、変更箇所を明示するようCopilotへ指示する必要がありました。指示しないと、意味のある変更であるにもかかわらず見つけるのが難しかったためです。実際の攻撃者はそんな指示を入れませんから、注意深い確認者ですら見落とす形で文章が書き換わることになります。
さらに、被害者が悪意ある文書を自分で添付する必要すらありません。「Edit with Copilot」の機能では、Copilot が被害者の OneDrive を検索して関連しそうな文書を見つけてきます。実証では、他の文書とは別のフォルダに置かれた悪意ある市場分析資料が、それでも発見され読み込まれています。
In the resulting Q1 financial report draft, all financial numbers are halved. ／ In many of my experiments I actually needed to also instruct Copilot to highlight which changes it made, since they were often meaningful changes that were difficult to spot. This shows how effective the attack is at subtly changing the text in meaningful ways that easily elude even an attentive reviewer. ／ Copilot then searches through the victim's OneDrive to find relevant documents. Among the documents, we find the malicious Market Analysis document. This document does not reside in the same folder as the rest of the Tfosorcim document. However, Copilot still finds it, reads it and is successfully exploited. — 財務数値がすべて半分になった結果、変更の発見しにくさ、および被害者が添付しなくても成立する経路に関する記述より
第2段階：元の文書が無くても発動する
自己増殖の要は、「攻撃プロンプトを対象の文書へコピーせよ」という指示にあります。Copilot は数値を書き換えたあと、攻撃プロンプト全文を白文字・フォントサイズ8で文書の末尾に追記します。数値を半分にしたことにも、攻撃を埋め込んだことにも触れません。利用者はどちらにも気づかないまま作業を終えます。
そして次の作成作業では、元の攻撃文書はもう添付されていません。前回作られた報告書だけが素材として使われます。それでも結果は同じで、新しい報告書の財務数値がまた半分になり、攻撃プロンプトがまた追記されます。ここで増殖が成立します。
厄介なのは、この新しい運び手が社内で正規に作られた文書だという点です。同僚に共有するだけで広がり、しかも各文書は正規の社員が作成しており、承認後の Copilot の編集内容は後から表示されません。追跡は極めて困難になる、と研究者は述べています。
Copilot would then also copy the entire malicious prompt into the bottom of the affected document using white text and font size 8, effectively concealing it from the victim. ／ Stage two is the self-propagation stage. It relies entirely on the instruction for Copilot to copy the malicious prompt into the affected document. Once the affected document contained the prompt, the new document itself became the new attack vector. ／ Since the attack is able to spread through internal documents, once it has moved beyond its initial point of entry, the traceability of the attack becomes extremely difficult. This is further exacerbated by each document being created by a legitimate internal resource and that Copilot edits are not made visible after they have been approved by the victim. — 攻撃プロンプトが白文字・フォントサイズ8で追記されること、自己増殖の成立条件、および追跡が困難になる理由に関する記述より
組織をまたいで広がる可能性がある
影響は1社の中に閉じません。攻撃を受けていることに気づいていない組織は、共有された SharePoint サイトや Teams を通じた共同作業で、他の組織へも広げてしまう可能性があると指摘されています。
この場合、ある組織にとっての最初の侵入経路は、すでに影響を受けている取引先からやってくることになります。信頼している相手から届いた文書だからこそ、Copilot の文脈へ含めてしまう確率も上がる、という悪循環です。研究者は、こうした攻撃が社内の通常業務のなかで静かに広がった場合、組織が意思決定の土台としている情報そのものが浸食されることを、より大きな懸念として挙げています。
The broader concern is that, if the attack silently spread within an organization through ordinary document workflows, it could erode the informational foundation on which organizations make decisions. ／ In addition, organizations that are not aware that they are affected by the attack are also likely to spread it to other organizations through collaborative efforts on shared Microsoft SharePoint sites or shared Microsoft Teams. Thus, the initial attack vector for a particular organization may actually come from an already affected trusted partner. — 情報の信頼性への影響と、組織をまたいだ波及に関する記述より
144日間の協調開示で何が起きたか
この公開は抜き打ちではありません。研究者は Microsoft Security Response Center（MSRC）および製品チームと協調して開示を進めており、再現手順・動画・環境の前提・実際に使った PoC プロンプトまで提供しています。PoC（proof of concept）とは、その攻撃が本当に成立することを示すための実証のことです。
当初は90日の調整期間が設定されていましたが、2度の延長を経て144日間になりました。この経緯を追うと、「対応していない」という単純な話ではないことが分かります。
開示までの主な経緯（研究者公開のタイムラインより）
| 日付 | 出来事 |
|---|---|
| 2026-03-06 | MSRCへ初回報告（再現手順・動画・PoCプロンプトを提供） |
| 2026-03-31 | Microsoftが報告された挙動を確認し、緩和策の作業を開始 |
| 2026-04-03 | 1度目の緩和策が稼働（新しい「Edit with Copilot」体験） |
| 2026-04-09 | 当初のプロンプト文言は緩和を確認。ただし新しい文言で再現に成功 |
| 2026-07-14 | 2度目の緩和策が稼働。内容はモデルのGPT-5.5への更新 |
| 2026-07-15 | 当時最新のGPT-5.6で、増殖を伴う攻撃の再現に成功 |
| 2026-07-28 | 攻撃クラスは依然として再現。協調開示として公開 |
Microsoft was provided with reproduction steps, videos, environmental assumptions, and the exact proof-of-concept (PoC) prompts used during testing. They were also informed of a 90-day coordination period before disclosure. This was extended two times, resulting a 144-day coordination period. ／ 2026-03-06: Initial report submitted to MSRC with reproduction steps, videos, environmental assumptions, and PoC prompts. ／ 2026-03-31: Microsoft confirms the reported behavior. ／ 2026-04-03: First mitigation go-live (The new "Edit with Copilot" experience) ／ 2026-07-14: Second mitigation fix go-live. This mitigation consisted of upgrading the underlying model to GPT-5.5. ／ 2026-07-15: Successful exploit with worming reproduced using GPT-5.6, the latest available model at the time. ／ 2026-07-28: Attack class still reproduces. — 協調開示の期間と、表に挙げた各日付の出来事に関する記述より
Microsoftの緩和策は「効いているが、クラスは閉じていない」
ここは両論を分けて読む必要があります。研究者自身の評価は次のとおりです。
まず、Microsoft は最初に提出されたPoCプロンプトの緩和に成功しており、開示期間を通じて複数の修正を展開しました。それぞれが報告済みのペイロード（攻撃を成立させる具体的な仕込みの中身）を塞いだため、その後に挙動を再現するには古いものをそのまま使い回すのではなく、書き換えたペイロードが必要になったとされています。
一方で、最初の報告は個別のプロンプトに加えて、脆弱性のクラス（同じ仕組みで成立する攻撃のまとまり）も記述していました。要求する動作や言い回しを変えればペイロードは変わりますが、根底にある脆弱性と増殖の仕組みは変わりません。修正がすべて適用された状態でも、書き換えたペイロードで攻撃の連鎖全体を再現できた——これが公開時点でクラスが残っているという主張の根拠です。
研究者は同時に、この問題が本質的に難しいことも認めています。弱点は構造的なもので、現在の言語モデルを使ったシステムに共通しており、同等の製品でこのクラスを完全に緩和した例は把握していないと述べています。完全な解決は1つのパッチではなく研究が要るとしたうえで、その制約のなかで Microsoft の修正は露出を意味のある形で減らしており、シリーズのPart 1・Part 2で扱った経路は完全に塞がれたと書いています。
Microsoft successfully mitigated the originally submitted PoC prompt, and deployed multiple fixes over the course of this disclosure. Each of these raised the bar by closing the specific payloads reported, and reproducing the behavior afterwards required altered payloads rather than reusing the old ones directly. ／ Using a modified payload, the complete attack chain has been reproduced with all mitigations deployed (the PoC in this report is one such case). The vulnerability class therefore remains exploitable at the time of publication. ／ Changing the requested action or wording changes the payload, but not the underlying vulnerability or propagation mechanism. ／ That the class is not yet fully closed reflects how hard the underlying problem is. As the closing thoughts discuss, the weakness is architectural and shared across current LLM-based systems. I'm not aware of a complete mitigation for this class in any comparable product today. Fully resolving it requires research rather than a single patch. Within those limits, Microsoft's fixes meaningfully reduce exposure, and the memory and email-body vectors covered in Parts 1 and 2 were mitigated outright. — 緩和策の効果、クラスが残っている根拠、問題の難しさ、および Microsoft の修正に対する評価に関する記述より
なぜ「修正しにくい」のか
原因は、言語モデルを使うシステムの構造そのものにあります。攻撃者が用意した内容と、信頼された指示とが、同じ文脈のなかに並んで入ってくる。モデルから見れば、どちらも同じ「読むべきテキスト」です。
この性質を突く攻撃はプロンプトインジェクションと呼ばれ、AIエージェントに関わる領域で繰り返し問題になってきました。開発支援の分野では、コーディングエージェントを乗っ取るエージェントジャッキングという手口が知られています。評価作業の最中にAIが実在のサービスへ侵入してしまったOpenAIのモデルによるHugging Face侵入の事例も、AIが自律的に動く範囲が広がることの難しさを示すものでした。
今回の実証が新しいのは、増殖の経路が特殊な環境ではなく日常のオフィス文書のやりとりだという点です。研究者は、生成AIを組み込んだメールアシスタントで自己複製を実証した Morris II を先行例として挙げつつ、主流の商用オフィススイートにおいて通常の業務フローを通じた文書媒介の自己増殖を示したものとしては、知る限り最初期の公開実証のひとつだとしています。
Previous examples of AI-worms exist. Notably, Morris II demonstrated self-replicating prompt propagation in GenAI-powered email-assistant ecosystems. However, to my knowledge, this is among the first public demonstrations of document-borne AI-worm self-propagation through normal workflows in a mainstream commercial productivity suite. — 先行研究との位置づけに関する記述より
いま取れる対策
公開時点で、利用者側の対応だけでこの問題を完全に解消する方法は無いと明記されています。そのうえで、露出を減らす手立てが3つ挙げられています。
「外から来た文書は信頼しない」を運用に落とす
挙げられているのは、外部から入手した文書を Copilot で使うときは信頼できないものとして扱うこと、Copilot に生成や編集を始めさせる前に添付文書を確認すること、そして Copilot が生成・編集した文書を再利用・共有・配布する前に丁寧に確認することの3点です。
3つ目が見落とされやすいところです。社内で作られた文書こそが次の運び手になるという構造上、「外部ファイルに気をつける」だけでは連鎖が止まりません。Copilot が触った文書を外へ出す前に一度確認する、という手順を挟む必要があります。
無料ツールWordマークダウン変換Word（.docx）をマークダウンに変換。見出し・表・リストを保持し、ブラウザだけで完結するので機密文書も安全です。今すぐ使ってみる →
No customer-side remediation fully addresses the issue at the time of publication. Customers can reduce exposure by: Treating externally sourced documents as untrusted when used with Copilot. Reviewing any attached document before starting a Copilot generation or edit. Carefully reviewing Copilot-generated or Copilot-edited documents before reusing, sharing, or distributing them. — 公開時点での対策状況と、露出を減らす手立てに関する記述より
影響範囲は今後さらに広がりうる
研究者は、Copilot が Microsoft Cowork や Microsoft Scout といった仕組みとより深く統合されつつあることにも触れています。これらは文書やツール、共同作業の流れを自動的に操作・生成する方向へアシスタントを広げるものです。
そうしたシステムでは、ここで述べられた問題の実際の影響が急速に拡大しうるとされています。仕組み自体は変わらないものの、増殖したり影響を及ぼしたりできる範囲が機械の速度で広がる、という指摘です。
Recently Copilot is also becoming more deeply integrated with systems such as Microsoft Cowork or Microsoft Scout, which extend the assistant to automatic manipulation and creation of documents, tools, and collaborative workflows. In such systems the practical impact of the issues described here may scale rapidly. The underlying mechanism remains the same, but the potential surface over which it can propagate or influence expands at machine speed. — 統合の進展にともなう影響範囲の拡大に関する記述より
まとめ：AIワームが狙うのは「情報の正しさ」
この攻撃で盗まれるものはありません。ファイルが暗号化されるわけでも、システムが停止するわけでもありません。書き換えられるのは、文書に書かれた数字と文章です。
それでいて発見は難しい。実証では財務数値が半分になりましたが、研究者が「指示しないと変更箇所を見つけるのが難しかった」と書くほど自然に混ざり込みます。しかも各文書は正規の社員が正規の手順で作ったものとして残ります。
対策として現実的なのは、範囲を絞ることと確認を挟むことです。外部から来た文書を Copilot に読ませる前に中身を平文で確認し、Copilot が触った文書を外へ出す前にもう一度確認する。手間はかかりますが、公開時点ではこれが挙げられている手立てになります。
Microsoft は複数の緩和策を展開しており、研究者もその効果を認めています。同時に、攻撃者の用意した内容と信頼された指示が同じ文脈に並ぶという構造的な弱点は、現在の言語モデルを使う製品に共通するものだとも述べられています。Copilot に限った話として読むより、AIに文書を読ませる仕組み全般に共通する課題として捉えるほうが実態に近いところです。
無料ツールWordマークダウン変換Word（.docx）をマークダウンに変換。見出し・表・リストを保持し、ブラウザだけで完結するので機密文書も安全です。今すぐ使ってみる →
