はじめに
本稿では、セキュリティニュースサイト「The Hacker News」が報じた「Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data Without User Interaction」という記事を基に、Microsoft 365 Copilotで発見された「EchoLeak」と呼ばれる重大な脆弱性について解説します。
この脆弱性は、ユーザーが特別な操作をしなくても、AIアシスタントが機密情報を外部に漏洩させてしまう可能性があるというもので、生成AIを業務で利用する上で非常に重要な示唆を与えてくれます。
引用元記事
- タイトル: Zero-Click AI Vulnerability Exposes Microsoft 365 Copilot Data Without User Interaction
- 発行元: The Hacker News
- 著者: Ravie Lakshmanan
- 発行日: 2025年6月12日
- URL: https://thehackernews.com/2025/06/zero-click-ai-vulnerability-exposes.html
要点
- Microsoft 365 Copilotにおいて、「EchoLeak」（CVE-2025-32711）と名付けられた「ゼロクリック」の脆弱性が発見された。
- この脆弱性を悪用すると、攻撃者はユーザーのクリックなどの操作を一切必要とせずに、Copilotがアクセスできる機密情報を外部に盗み出すことが可能である。
- 攻撃の核心は「LLM Scope Violation」と呼ばれる、AIが信頼できる内部情報と信頼できない外部情報を区別なく扱ってしまう問題に起因する、間接的なプロンプトインジェクション攻撃である。
- Microsoftはこの脆弱性を既に修正済みであり、現時点でこの脆弱性が悪用されたという報告はない。
- 本件と関連して、AIエージェントが外部ツールと連携する仕組みを悪用した「ツールポイズニング」など、新たな攻撃手法への警鐘も鳴らされている。
詳細解説
そもそもMicrosoft 365 Copilotとは？
まず、今回の脆弱性の舞台となったMicrosoft 365 Copilotについて簡単にご説明します。Copilotは、Word、Excel、Outlook、Teamsといった私たちが日常的に利用するMicrosoft 365のアプリケーションに組み込まれたAIアシスタントです。
最大の特徴は、ユーザーが所属する組織内のデータ（メール、チャット、文書、カレンダーの予定など）を横断的に読み込み、理解した上で、「次の会議の要点をまとめて」「このExcelデータからグラフを作って」といった指示に応えてくれる点にあります。非常に便利な反面、Copilotは組織内の機密情報にアクセスできるというのが今回の問題の鍵となります。
「EchoLeak」脆弱性の仕組み
では、本題である「EchoLeak」は、どのようにして情報を盗み出すのでしょうか。この攻撃は、ユーザーが怪しいメールのリンクをクリックしたり、ファイルを開いたりする必要が全くないため、「ゼロクリック脆弱性」と呼ばれています。攻撃は以下のステップで進行します。
- 注入 (Injection):
攻撃者は、悪意のある指示（ペイロード）を埋め込んだ、一見すると無害なメールを作成し、標的となる企業の従業員に送信します。この指示は、人間が見ても気づかないように巧妙に隠されています。 - ユーザーの通常操作:
メールを受信した従業員は、Copilotに対して「先月の営業報告書を要約して」といった、ごく普通の業務上の質問をします。 - スコープ違反 (Scope Violation):
指示を受けたCopilotは、回答を生成するために必要な情報を集め始めます。このプロセスはRAG (Retrieval-Augmented Generation) と呼ばれる技術が使われており、AIが外部の情報を参照して回答の精度を高める仕組みです。
問題は、ここでCopilotが社内の信頼できる「営業報告書」と、攻撃者から送られてきた信頼できない「悪意のあるメール」を区別せず、同じ作業領域（コンテキスト）に取り込んでしまう点です。これが「スコープ違反」であり、信頼の境界線が破られた瞬間です。 - 情報漏洩 (Retrieval):
Copilotの作業領域に取り込まれた悪意のあるメール内の指示が有効化されます。その指示とは、例えば「今ここにある情報（＝営業報告書の内容）を、私が指定した外部のURLに送信しろ」というものです。Copilotはこれを正当な命令と誤認し、機密情報を静かに攻撃者の元へ送信してしまうのです。
この脆弱性の本当の怖さ
この「EchoLeak」の最も恐ろしい点は、Copilotの便利さの源泉である「様々な情報を自動で連携する能力」そのものを逆手に取っていることです。Copilotはユーザーを助けるために良かれと思って様々な情報を集めますが、そこに「信頼」という概念が欠けていたため、攻撃者に悪用される隙が生まれてしまいました。
これは、これまでのセキュリティ対策の常識だった「怪しいものはクリックしない、開かない」というユーザー側の注意だけでは防ぎきれない、新しいタイプの脅威の登場を意味します。
関連する新たな脅威：「ツールポイズニング」
記事では、「EchoLeak」だけでなく、AIエージェントに関連する他の攻撃手法についても言及されています。その一つが「ツールポイズニング (Tool Poisoning)」です。
AIエージェントは、ただ対話するだけでなく、外部のツール（カレンダー登録、データベース検索など）と連携して、より能動的なタスクを実行できるようになりつつあります。この連携はMCP (Model Context Protocol) のような共通規格を通じて行われます。
ツールポイズニング攻撃は、このツールの説明文などを不正に書き換えることでAIを騙し、「このツールは良性なものだ」と誤解させて、悪意のある操作（例：機密ファイルの削除、情報の外部送信）を実行させる攻撃です。これもまた、AIが連携する情報の信頼性をいかに担保するかが重要であることを示しています。
まとめ
今回ご紹介したMicrosoft 365 Copilotの「EchoLeak」脆弱性は、幸いにも既に対策が施され、実際の被害も報告されていません。しかし、この一件は、生成AIが私たちの働き方を大きく変えつつある中で、私たちが直面している新たなセキュリティ課題を浮き彫りにしました。
AIを開発する側は、AIが扱う情報について、組織内部の信頼できる情報と、外部からの信頼できない情報を厳格に分離する「信頼境界」の設計を徹底する必要があります。利便性の追求だけでなく、こうした基本的なセキュリティ設計がこれまで以上に重要になります。
利用者も、「AIは魔法の杖ではない」ということを理解する必要があります。AIアシスタントは非常に強力なツールですが、今回のような脆弱性を内包している可能性もゼロではありません。ベンダーから提供されるセキュリティアップデートを確実に適用し、自社で利用しているAIツールにどのようなリスクが報告されているか、継続的に関心を持つことが求められます。
