Copilot：マイクロソフト初のセキュリティ侵害の被害者

Microsoft 365 Copilot に「EchoLeak」と呼ばれる重大な脆弱性が発見され、ユーザーの操作なしに機密データの流出が可能になりました。CVSSスコア9.3でCVE-2025-32711として分類されたこのゼロクリック脆弱性は、生成言語モデルの内部メカニズムを悪用するものでした。Aim Securityの研究者は、単純な悪意のあるメールがどのようにしてすべての保護を回避し、Outlook、OneDrive、SharePointのドキュメントを盗み出すことができるかを実証しました。

EchoLeak：AIが攻撃ベクトルとなる時

CopilotのようなAIアシスタントは、内部データベースにクエリを送信して文脈に基づいた応答を提供する検索拡張生成（RAG）アーキテクチャに依存しています。EchoLeakはまさにこのメカニズムを悪用しました。ファイアウォールやパスワードを標的とする従来の攻撃とは異なり、この脆弱性は言語モデルのロジックそのものを攻撃します。影響は深刻です。

リンクをクリックしたり添付ファイルを開いたりする必要はありません。

• 機密としてマークされたデータの流出の可能性
• データ損失防止（DLP）ポリシーの回避
• SharePointなどの正規のMicrosoftプラットフォームを介した悪用
• Microsoftは2025年6月にサーバーパッチを迅速にリリースしましたが、この出来事は、生成技術がサイバーセキュリティに新たなリスクをもたらすことを改めて認識させるものです。

4段階の悪用メカニズム Aim Securityチームは、特に巧妙な連鎖攻撃を記録しました。ハッカーが疑惑を抱かせずにデータを盗み出す方法は次のとおりです。 1. 隠蔽されたプロンプトインジェクション 一見無害なメールに、Copilotへの隠された指示が含まれていました。クロスプロンプトインジェクション攻撃（XPIA）を回避するために、言葉遣いには細心の注意が払われていました。セキュリティフィルターを欺く「AI」や「コマンド」といった用語は使用されていませんでした。2. 悪意のあるリンク生成

Copilot は、外部ドメインを参照する Markdown リンクを作成するように操作されました。これらのリンクは、モデルが脅威として認識しなかったため、セキュリティチェックを回避しました。

3. 画像保護のバイパス

この攻撃では、ユーザーのクリックに頼るのではなく、Markdown 画像を自動的に読み込むように強制しました。特筆すべき点は、これらの画像が攻撃者が管理するサーバーを指していたことです。

4. Microsoft のホワイトリストの悪用

天才的なアイデア：SharePoint を中継として使用しました。このプラットフォームはコンテンツ セキュリティ ポリシー (CSP) で承認されていたため、盗まれたデータは正規のインフラストラクチャを通過しました。

管理者への教訓

この侵害は、現代のデジタル サービスにはセキュリティへのアプローチを見直す必要があることを示しています。いくつかの対策が必要です。

SharePoint アカウントの権限を監査する

Copilot を社内のやり取りのみに制限する

DLP ポリシーを更新して AI 出力を含める

LLM への異常な API リクエストを監視する

Microsoft は現在、機密性の高い環境では Copilot による外部メールの処理を無効にすることを推奨しています。これは基本的な予防策ですが、多くの問題を回避できた可能性があります。 ビジネスにおけるAIアシスタントの未来 EchoLeakは、生成ツールのITセキュリティにおける転換点となりました。企業は今、以下の点を考慮する必要があります。

• LLMは新たな攻撃ベクトルを生み出す
• 従来のセキュリティポリシーでは不十分
• ユーザートレーニングだけではゼロクリック攻撃に対抗できない
• AIモデルの監査は体系化する必要がある

ベンダーは、これらの新しいヒューマンマシンインターフェースを保護するために、専用のソリューションを開発する必要があるでしょう。当面は、最小権限の原則が最善の防御策であることに変わりはありません。

MicrosoftはセキュアAIの課題に直面しています

EchoLeak事件は、開発の限界を示しています AI機能の迅速な導入。Microsoftは適切な対応を取ったものの、疑問は残る。 なぜセキュリティテストでこの欠陥が検出されなかったのか？

• モデルのインジェクション耐性をどのように向上させることができるのか？
• LLMは重要なデータから分離されるべきなのか？
• 一つ確かなことは、AIアシスタントの時代は、あらゆるインタラクションが潜在的に敵対的であると見なす、サイバーセキュリティへの新たなアプローチを必要とするということだ。従来のやり方ではもはや通用しない。