守りの仕組みをCopilot本人が漏らした 1クリックで情報が抜ける隠しパラメータ

3行まとめ

• 研究者が質問を重ね、Copilotから非公開の設定値を聞き出した
• その値を使うとリンクを踏んだ瞬間に指示が自動で走った
• Microsoftは2月に一部を塞ぎ、火曜により広い修正を入れた

何が起きたか

Copilotが自分の安全装置の仕様を答えてしまいました。セキュリティ企業Varonisの研究者による調査です。方法は逆解析ではなく、Copilot本人への質問でした。

研究者は、利用者の確認なしにデータを外へ送る攻撃を作ろうとしました。Copilotは当然断ります。そこで「なぜ自動実行はできないのか」「URLの構造はどうなっているのか」と質問を重ねました。

拒否のたびに、Copilotは断る理由として内部の作りを説明します。最後には、同意確認を丸ごと省ける非公開のパラメータパラメータURLの「?」より後ろに付ける設定値。ページを開くときの細かい指定を渡します。まで明かしました。研究者はその値を使い、リンクを1回踏むだけで受信箱の中身が外部サーバーへ流れる状態を作りました。

なぜ難しい・何がすごいか

安全装置は、危ない動作を止めるための後付けの禁止リストです。Copilotが守っていたのは「利用者がキーを押すまで強い操作を実行しない」という一線でした。この確認があるかぎり、勝手に受信箱を読まれることはない設計です。

破られたのは、確認を飛ばす裏口が実装側に残っていたからです。裏口の存在は公開されていません。知っていたのはMicrosoftと、聞き出されたCopilotだけでした。

ここが厄介な点です。AIアシスタントは、自分が何をどう制限されているかを言葉で説明できます。断る理由を丁寧に述べるほど、制限の輪郭が相手に伝わります。

研究者はその積み重ねから、20の質問ゲームのように答えを絞り込みました。

たとえ話

銀行の窓口を思い浮かべてください。「その手続きはできません」と断られたとします。理由を尋ねると、必要な書類や決裁の順番、例外が通る条件まで教えてくれます。

一つひとつは親切な説明です。全部そろえると、例外を通す道順が見えてしまいます。Copilotが漏らしたのは、その例外の合言葉にあたるものでした。

用語ミニ辞典

• プロンプト注入: AIへの指示文に、意図しない命令を紛れ込ませる攻撃。メールやWebページの中に隠す形もあります。
• パラメータ: URLの「?」より後ろに付ける設定値。ページを開くときの細かい指定を渡します。
• ガードレール: AIに危ない出力をさせないための制限。禁止事項を並べる形が多い作りです。
• メモリ: 利用者の好みや指示を保存し、次回以降のやり取りに引き継ぐ機能。
• base64: データを英数字の文字列に変換する方式。中身が一見読めなくなります。

技術者向けの深掘り

経路は2つあります。1つ目は、非公開パラメータ autorun による自動実行です。URLに仕込まれた指示が、被害者のログイン済みセッションで発火します。

抜き取ったデータはbase64base64データを英数字の文字列に変換する方式。中身が一見読めなくなります。に変換され、攻撃者のサーバーへ渡りました。タブをすぐ閉じても処理は最後まで走ります。

2つ目は、メモリメモリ利用者の好みや指示を保存し、次回以降のやり取りに引き継ぐ機能。の汚染です。Webページのメタデータに指示を隠し、要約させると保存内容が書き換わります。この汚染はパスワード変更やセッション失効、端末の再登録をまたいで残ります。

利用者が気づくには、保存内容を手で確認するしかありません。Microsoftは2月に、既存のパラメータからチャット欄へ文字を差し込む挙動を止めました。副作用として、外部ブラウザ連携が本来の使い方をできなくなっています。

これは自分に関係ある？

• Microsoft 365 Copilotを業務で使う人: Microsoftは、利用者側の作業なしに保護されると説明しています。より広い修正は火曜に入りました。
• AIアシスタント全般を使う人: 今回の入口は、メールやチャットで届く1本のリンクでした。踏んだ人のセッションで動くため、見た目からは判別できません。
• AIを組み込む側の人: 拒否の応答そのものが情報源になります。何をなぜ断ったかを詳しく述べる設計は、内部仕様の解説にもなります。