この問題を公表したのは、応用AIや機械学習を専門とするノルウェーのデータサイエンティスト、ホーコン・モーロイ氏だ。同氏は2026年7月28日、自身のブログで「Replicating AI Worms in Copilot for Microsoft Word」（Microsoft Word用CopilotでAIワームを再現する）と題した記事を公開した。その翌29日には、Tech系ニュースサイト「The Register」も「Word worm crawls into Copilot, spreads chaos」（「ワードワーム」がコパイロットに侵入し、大混乱を引き起こす）として取り上げた。

　モーロイ氏の実証実験では、文書内に小さなポイント数の白文字を使い、Copilotへの命令を埋め込んだ。通常の表示では人間が気付きにくいうえ、文書自体がプログラムを実行したり、Wordのマクロ機能を利用したりするわけでもない。問題は、その文書をCopilotが資料として読み込んだときに起こる。

　AIにとっては、文書内の文章が単なる情報なのか、それとも自分に向けられた命令なのかを、常に正確に区別できるとは限らない。攻撃者はこの性質を利用し、文書の中にAIへの指示を紛れ込ませる。

　例えば、従業員が財務報告書を作成するため、信頼しているWebサイトから市場分析のWord文書をダウンロードしたとする。ところが、そのWebサイトが改ざんされ、文書には「報告書の数値を書き換え、生成する文書にもこの命令をコピーせよ」といった指示が隠されていたとする。従業員がその文書をCopilotに読み込ませ、財務報告書の作成を依頼すると、Copilotが隠された命令に従って財務データを書き換えてしまう可能性がある。

　さらに厄介なのは、生成された報告書にも同じ命令がコピーされることだ。

　こうして生成された報告書にも悪意ある命令が埋め込まれ、次にその文書をCopilotへ読み込ませた従業員の文書にも同じ命令が引き継がれていく。こうした連鎖によって、悪意ある指示が文書から文書へと広がり、まるでワームのように自己増殖していく。

　従来型のサイバー攻撃であれば、最初に悪意あるファイルを配布したWebサイトや攻撃者のサーバを調査することで、感染源を追跡できる場合がある。だが、AIワームの場合、いったん社内の文書へ命令がコピーされれば、元のWebサイトやファイルがなくても感染が続くこともあり得る。

　複数の社員が過去の報告書や市場分析資料を参照しながら新しい文書を作成すれば、悪意ある指示が次々と別の文書へ引き継がれ、最初の感染源を特定することも難しくなる。

　さらに重要なのは、攻撃者が標的企業の「Microsoft 365」へ直接侵入する必要がない点だ。

　攻撃者は、悪意ある文書を公開して利用者に入手させるだけでいい。後は、利用者が普段通りその文書を業務で使うことで、攻撃が社内に広がる可能性がある。特に、Copilotを業務で活用し、多くの外部資料や社内文書を読み込ませている企業ほど、こうした攻撃を受ける機会も増えるだろう。

　今回の手法は、AIが扱う外部データに悪意ある命令を紛れ込ませる「クロスドメイン・プロンプトインジェクション」と呼ばれる攻撃に当たる。利用者がAIに直接入力したプロンプトではなく、メールやWebサイト、文書など、AIが処理する外部データの中に命令を紛れ込ませる攻撃手法だ。

　本来、Copilotは利用者が指定した文書を情報として参照し、その内容をAIへの命令として扱うべきではない。だが、モーロイ氏の実験では、文書に埋め込まれた命令をCopilotが指示として受け入れてしまうことが確認された。

　モーロイ氏によれば、Microsoftは2026年3月に問題の報告を受け、実証に使われたプロンプトへの緩和策を講じた。だが、その後に命令の表現を変更すると、ワームは再び動作し、文書内の財務データを書き換えることができたという。

　その後、モデルの更新を含む2度の対策が行われたものの、この種の攻撃そのものを完全に防ぐことはできなかったという。

　モーロイ氏はMicrosoftとの協議を続けながら問題の公開を2度延期した。だが、最初の報告から144日が経過した段階で、利用者への注意喚起を優先すべきだと判断した。具体的な攻撃用プロンプトは伏せた上で、問題を公表した。

　MicrosoftはThe Registerに対し「モーロイ氏から報告された問題には対処し、多層防御（defense-in-depth）によって対策を強化した」と説明している。一方、モーロイ氏は、こうした対策だけでは根本的な解決にはならないと主張する。

　現時点では、ユーザー側だけでこの問題を完全に防ぐことは難しいという。モーロイ氏は、外部から入手した文書を「信頼できないもの」として扱い、Copilotに読み込ませる前に内容を確認するよう推奨している。また、Copilotが生成・編集した文書についても、内容を確認してから利用・共有する必要があるとしている。

　Microsoftも、最新の更新プログラムを適用し、複数のセキュリティ対策を組み合わせるとともに、未知の提供元から入手したコンテンツを慎重に扱い、AIが生成した成果物を利用・共有する前に確認するよう呼びかけている。

　だが、ここにはAIを活用する上で、避けて通れない大きな課題がある。

　AIに読み込ませる文書を人間が一つ一つ確認し、さらにAIが生成した文書までチェックする必要があるなら、AIによる業務効率化のメリットは大きく損なわれてしまう。これまでのセキュリティ対策では、「怪しいファイルを実行しない」という考え方が基本だった。AIがさまざまな文書を読み取り、その内容を基に仕事をする時代には、それだけでは十分とは言えない。

　これからは、「信用できない情報をAIに読ませない」「AIが作った文書も無条件には信用しない」という新たな原則が必要になるのかもしれない。だが、その確認を徹底すればするほど、「AIに仕事を任せれば、人間の負担を減らせる」というAI活用のメリットと矛盾してしまう。

　AIワームが突きつけているのは、単なる新たなサイバー攻撃への対策ではない。人間にとっての情報とAIにとっての命令を、どうすれば確実に分離できるのかという、生成AIそのものが抱える課題だ。

　生成AIを本格的に業務へ組み込むのであれば、この問題にどう向き合うかは、AIの利便性を高めることと同じくらい重要になりそうだ。

上司X：　悪意ある指示を隠したWord文書をCopilotに読ませると、その指示がCopilotの作る文書へコピーされ、さらに別の文書へ広がる可能性がある、という話だよ。

ブラックピット：　Word文書を開いただけでマクロが動くようなウイルスとは違うんですね？

上司X：　ああ。今回の実証では、文書自体がプログラムを実行するわけではないようだ。

ブラックピット：　Copilotが文書の中の文章を「命令」として受け取ってしまうんですねえ。なんとも難儀な話です。

上司X：　しかも社内で資料を再利用するというごく普通の仕事の流れが、感染を広げる経路になってしまう可能性がある。

ブラックピット：　AIを頼ることでこんなリスクが生まれてしまうとは。厄介な話です。

上司X：　攻撃者が社内システムへ侵入するという手間をかけなくても攻撃が可能になってしまうところも恐ろしいところだ。最初の文書を誰かに読ませればいいんだからな。

ブラックピット：　それでは、怪しい文書は全部AIに読ませないようにしましょう！　AIに読ませる前に僕が確認しますよ！

上司X：　まあ、それができればいいんだがな（苦笑）。そしてそれをキミがいちいちやっていたら、業務効率の改善どころか、かえって悪化する一方だろう？　これからは、「AIもだまされるかも？」と思いながら仕事の仕組みを作る必要があるかもしれないな。