見えない命令が「子」を産む仕組み #
攻撃者は真っ白な背景に真っ白な文字で、JSON形式の指示を文書に忍ばせる。人間の目には空白にしか見えないが、ユーザーがこの文書を元にCopilotへ「要約して」「編集して」と頼むと、Copilotは書式ごと本文を読み込み、隠された指示を正規のユーザー要求と区別できずに実行してしまう。研究者のHåkon Måløy氏が3月にMicrosoftへ報告し、7月28日に技術詳細「Context Collapse Part 3」として公開した。
ポイントは「複製」までさせること #
このワームの特異な点は、不正な命令を一度実行させるだけでなく、Copilotが生成した新しい文書にも同じ隠しプロンプトをコピーさせることにある。感染文書が社内で回覧・再利用されるたびに、次の利用者のCopilot操作をトリガーに命令が再実行され、元の悪性文書が既に削除されていても増殖は止まらない。ホワイトカラーの「コピペで仕事を進める」習慣そのものが感染経路になるという指摘は、業務フロー全体を疑う必要性を突きつける。マルウェアのように実行ファイルを配布する必要がなく、ごく普通のオフィス文書の見た目のまま拡散する点も、従来のウイルス対策ソフトでは検知が難しい理由だ。
パッチだけでは閉じない攻撃面 #
開示から144日、抜本対策は未完了
Microsoftはモデル更新など複数の緩和策を実施したが、報告者によれば改変したプロンプトで同種の攻撃は依然再現できるという。
プロンプトインジェクションは特定の文言をブロックする対症療法では根絶しにくく、LLMが「文書内のテキスト」と「ユーザーの指示」を原理的に区別できない構造的弱点に起因する。生成AIをドキュメント処理に組み込む企業は、隠しテキスト検出やサンドボックス化など、根本的な設計変更を迫られている。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。