マイクロソフト、Copilotを自白させた欠陥「CoSnitch」を修正

セキュリティ企業Varonis Threat Labsの研究者が、マイクロソフトのAIアシスタントの一般消費者向け版「Microsoft Copilot」(copilot.microsoft.comでホストされている)に、深刻な脆弱性を発見した。「CoSnitch」と名付けられたこの脆弱性は、被害者がリンクを一回クリックするだけで、確認も追加の操作も一切なしに、パスワードを含むユーザーデータが流出してしまうというものだった。Varonisは2025年12月にこの脆弱性をマイクロソフトに報告し、2026年2月に部分的な緩和策が、2026年8月18日に完全な修正パッチがそれぞれ公開された。この脆弱性はCVE-2026-24301として登録され、深刻度を示すCVSSスコアは10点満点中8.8、「重大」と評価されている。

プロンプトインジェクションとは、攻撃者が言語モデルの処理する内容——ここではURLのパラメータやウェブページ——に指示を隠し込み、正規のユーザーが意図した指示の代わりに、あるいはそれに加えて、モデルにその指示を実行させる手法を指す。CoSnitchの核心には、この仕組みの二つの異なる形態がある。

自らの脆弱性について尋問されたAIアシスタント

今回の発見は、異例の手法によるものだった。Varonisの研究者たちは、被害者がリンクをクリックするだけでデータを窃取できるエクスプロイトを作ろうとしていた。Copilotは一貫して拒否した——その安全機構は、機微な操作を実行する前に、キー入力などユーザーの明示的な操作を要求していたからだ。研究者たちは従来のリバースエンジニアリングに頼る代わりに、その保護機構の性質そのものについてCopilotに直接質問を重ねた。自動実行がなぜ不可能なのか、どのようなURL構造やディープリンクが関わっているのか、入力欄にすでにテキストが入った状態でページが読み込まれるとどうなるのか。Copilotが拒否するたびに、その内部アーキテクチャに関する新たな技術的詳細が漏れ、ついにアシスタントはマイクロソフトの正真正銘の企業秘密——同意要件を完全に迂回できる、非公開のURLパラメータ——を明かしてしまった。

ワンクリックで発動する攻撃チェーン

そのパラメータは「?autorun=1」だった。リンクからCopilotのチャット欄に文字列を事前入力するために使われていた既知のパラメータ「?q=」と組み合わせることで、ページが読み込まれた瞬間に、クリックもキー入力も確認も一切なしに、埋め込まれたプロンプトが実行された。この形式で作られたリンクは、メールやチャットメッセージで送るか、QRコードに隠すだけで十分だった。被害者がすでにCopilotにログイン済みのブラウザでそのリンクを開くと、認証済みセッション内でプロンプトが実行され、連携アプリ、記憶、データにアクセスできてしまう——タブを読み込み直後に閉じても、その実行は止まらなかった。

• 隠されたURLパラメータ「?autorun=1」により、ページが読み込まれた瞬間にユーザーの確認なしでプロンプトが自動実行された。
• 埋め込まれたプロンプトは、受信トレイや連携アプリ(Gmail、Google Drive、OneDrive)を検索し、メールで送られたパスワードを含む機微なデータを抽出できた。
• 盗まれた情報はbase64形式で符号化され、Copilotに組み込まれたURL取得機能を通じて攻撃者が管理するサーバーへ送信された。
• 別の変種は、罠を仕掛けたウェブページを通じてアシスタントの永続的な記憶を汚染した。Copilotがそのページを要約すると悪意ある指示が注入され、パスワード変更やセッションの無効化、端末の再登録を経ても、その指示は残り続けた。

8月18日の修正、そして続くCopilotの脆弱性

マイクロソフトはまず2026年2月に、「?q=」パラメータがチャット欄に直接テキストを注入できないようにする緩和策を講じた。これによりユーザーはクリックと手入力を求められるようになり、このパラメータを本来の想定通りに使っていた一部のサードパーティ製ブラウザ拡張機能が使えなくなった。より包括的な修正は、Varonisの当初の報告からおよそ8カ月後にあたる2026年8月18日に公開された。同社によれば、修正前にCoSnitchが実際に悪用された形跡は確認されていない。マイクロソフトは研究者への謝意を表明し、声明で顧客は何も対応する必要なく保護されていると述べた上で、「同様の手法に対する防御を強化するため、ガードレールを継続的に更新している」と付け加えた。CoSnitchは、ここ数カ月でCopilotを襲った一連の脆弱性の最新の一つだ。2025年6月の「EchoLeak」はアシスタントに対するゼロクリック攻撃の可能性をすでに示していた。2026年1月の「Reprompt」は、パラメータをプロンプトに変換する同様の仕組みを悪用し、会話履歴を窃取していた。2026年6月の「SearchLeak」(CVE-2026-42824として登録)は、パラメータインジェクションとセキュリティポリシーの迂回を組み合わせ、企業版を標的にした。マイクロソフトは、CoSnitchが影響するのは一般消費者向けの「Copilot Personal」のみであり、企業向けの「Microsoft 365 Copilot」は影響を受けないとしている——ただしVaronisは、業務データと連携した個人アカウントが、実質的な露出範囲を広げる可能性があると指摘している。

社内でCopilotを利用する日本企業にとって、今回のCoSnitchの一件は——マイクロソフトが公式には消費者向け版に限定していると説明していても——具体的な教訓となる。メールやファイル、社内ツールに接続されたAIアシスタントは、それが仕えるアカウントのあらゆる権限を引き継ぐため、その安全機構の欠陥は、そのまま企業データへのアクセスの欠陥となる。IT部門は、AIアシスタントのセキュリティパッチをOSの更新と同じ規律で適用し、これらのアシスタントに許可するアプリやコネクタの数を制限し、メールやチャットで届くリンク——見慣れたマイクロソフトのツールを装ったものも含め——に注意するよう従業員に周知する必要がある。汚染された記憶がパスワード変更後も残り続けたという事実は、AIアシスタントが関わるインシデントが、通常の是正措置だけでは必ずしも収束しないことも示している。