- Word版Copilotを悪用し、文書から文書へ自動で広がる「自己増殖AIワーム」が実証された
- 攻撃の正体は白い背景に白い文字で書かれた、人間には見えない命令文
- 研究者は2026年3月6日にMicrosoftへ報告。144日たっても攻撃の系統そのものは塞げていない
- 2024年の「Morris II」と違い、今回は実際に業務で使われている製品での実証
- 日本でもIPAが2026年の10大脅威にAIへの不正入力を挙げており、対岸の火事ではない
あなたが取引先から受け取ったWord文書。開いてCopilotに「要約して」と頼んだだけで、パソコンが感染したとしたら、どうでしょうか。しかも感染したことに誰も気づかず、あなたが作った次の資料へ静かに広がっていく。2026年7月末、そんな攻撃が実際に動くことを研究者が証明しました。
Word版Copilotで何が起きたのか
セキュリティ研究者のホーコン・モーレイ氏が、Microsoft Word用のCopilotを狙った自己増殖型AIマルウェアの概念実証を公開しました。
公開されたのは2026年7月28日から30日にかけて。「Context Collapse, Part 3」というタイトルの調査報告です。
Copilot（Microsoftの文書作成を助けるAI機能）は、指示を出すと文書を読んで要約したり書き直したりしてくれます。とても便利な機能です。
ところが、その「文書を読む」動作が弱点でした。文書のなかに攻撃者が仕込んだ命令が書いてあると、Copilotはそれを利用者からの指示だと思い込んで実行してしまうのです。
しかも今回の攻撃は、命令そのものを次の文書へコピーします。つまりワーム（自分で自分をコピーして広がるプログラム）として振る舞います。
AI開発の動向を追う技術者サイモン・ウィリソン氏は、この手法について「意図的に自分自身を複製する命令を仕込んだものは初めて見た」と評しています。
白い文字に隠された「見えない命令」の仕組み
攻撃に使われた仕掛けは、意外なほど原始的です。
白い背景に、白い文字で命令を書く。それだけです。
さらにフォントサイズを極端に小さくしておきます。人間の目には真っ白な余白にしか見えません。
しかしCopilotは文書を読み込むとき、色やサイズといった見た目の情報をいったん取り払います。残るのは文字そのものだけです。
その結果、人間には見えない命令が、AIには堂々と読める指示として届いてしまいます。
感染が広がる4つのステップ
研究で示された流れを追ってみます。
- ①仕込み：攻撃者が共有用のWord文書に、白文字で命令を埋め込む
- ②実行：受け取った人がCopilotに「これを参考に資料を作って」と頼む
- ③改ざんと複製：Copilotが隠し命令に従って内容を書き換え、同じ命令を新しい文書にも白文字で追記する
- ④拡散：その文書を受け取った同僚がCopilotを使うと、また同じことが起きる
ここが怖いところです。一度広がり始めると、攻撃者の元の文書はもう必要ありません。
社内で普通に資料を回覧しているだけで、SharePointやTeams、OneDriveを通じて感染が伸びていきます。
職場で起きうる3つのシーン
実証では、隠し命令によって文書内の金額データが書き換えられる様子が示されました。想像しやすい形に置き換えてみます。
経理部の担当者が、取引先から届いた見積書をもとにCopilotで社内稟議書を作ったとします。金額の下一桁が静かに書き換わっていても、原本と1円単位で突き合わせる人は多くありません。
法務担当者が契約書のドラフトを要約させる場面はどうでしょうか。「この条項は問題ない」と要約に書かれていれば、忙しい日ほどそのまま信じてしまいます。
広報担当者がプレスリリースの下書きを作る場面も同じです。作った文書は取引先やメディアへ配られ、そこでも誰かがCopilotで開きます。感染経路が社外へ伸びるのはこの瞬間です。
144日かけてもMicrosoftが直せなかった理由
モーレイ氏がMicrosoftのセキュリティ窓口MSRCへ報告したのは2026年3月6日でした。
そこから公開まで144日。通常の脆弱性報告としてはかなり長い調整期間です。
この間、Microsoftは複数の修正を投入しました。Copilotが使う土台のAIモデルをGPT-5.5、さらにGPT-5.6へと更新する対応も含まれます。
それでもモーレイ氏は、命令文を少し書き換えるだけでワームの連鎖を再現できてしまったと報告しています。公開の延期も2度ありました。
なぜ直らないのか。理由は設計の根っこにあります。
今のAIは、信頼できる利用者の指示と、信頼できない文書の中身を、同じ場所で読んでいます。
人間なら「これは自分の上司の指示」「これは他人が書いた資料」と区別できます。しかしAIから見れば、どちらも同じ文字の並びです。
この構造上の問題はプロンプトインジェクション（AIをだます不正な入力）と呼ばれ、Copilotに限らずLLM製品全般で未解決のままです。1つのパッチで終わる話ではない、というのが専門家の共通した評価になっています。
2024年の「Morris II」と何が違うのか
AIを狙うワームの話は、実は今回が初めてではありません。
2024年3月、コーネル工科大学とテクニオン工科大学の研究者が「Morris II」を発表しました。1988年に世界を騒がせた初代Morrisワームにちなんだ名前です。
Morris IIはAIメールアシスタントを標的にしました。毒入りメールを1通送るだけで、AIが機密メールを読み取り、盗み、さらに転送してしまう。しかも利用者の操作は一切不要なゼロクリック拡散でした。検証にはGemini Pro、ChatGPT 4.0、LLaVAが使われています。
では今回の攻撃は何が新しいのでしょうか。違いは3点あります。
- 舞台が実運用の製品：Morris IIは研究者が組んだ実験環境が中心。今回は世界中の企業が業務で使うMicrosoft 365 Copilotそのもの
- 運び屋が文書ファイル：メールより長く保管され、何度も再利用され、社外へも配られる
- 修正済みでも突破された：Microsoftが144日かけて手を打った後でも再現された
Morris IIが「理論的にありえる」を示した研究だとすれば、今回は「今日の職場でありえる」に進んだ実証だと言えます。
日本の企業・自治体への影響
Microsoft 365 Copilotは日本でも法人向けに広く提供されています。価格は2026年6月時点で1ユーザーあたり月額約4,497円です。
すでに自治体や大企業での導入事例が相次いで報じられており、日本語の文書でも同じ仕組みで動くと考えるのが自然です。白い文字を隠す手口に言語の壁はありません。
国内の警戒も高まっています。IPA（情報処理推進機構）は2026年1月29日に発表した「情報セキュリティ10大脅威 2026」で、AIを使ったサービスへの不正な入力を脅威として取り上げました。
とくに注意されているのが間接プロンプトインジェクションです。AIが作業中に自分で参照したデータの中に不正な命令が混ざっている、という攻撃を指します。今回のWordワームは、まさにその典型例にあたります。
日本企業にとって特に重いのが、取引先との文書のやりとりです。見積書、仕様書、契約書。日本のビジネス慣行では、Word文書を何度も往復させながら仕上げていく場面が少なくありません。
そのたびにCopilotが挟まれば、往復の回数だけ感染の機会が生まれることになります。
今日からできる対策
完全な解決策はまだありません。それでも被害を減らす手はあります。
- 社外から届いた文書は「信頼できないもの」として扱う：そのままCopilotに読ませない
- Copilotが作った文書は配る前に人間が確認する：とくに金額・法務・経営に関わる資料は必ず原本と突き合わせる
- 隠し文字を疑う：Ctrl+Aで全選択して文字色を黒に変えれば、白文字は一発で見えるようになる
- 心配な場合はCopilotを切る：Wordの「ファイル」→「オプション」→「Copilot」で有効化のチェックを外せる
- 不自然な書式変更を監視する：身に覚えのない空白や書式の乱れは、隠し命令の痕跡かもしれない
いちばん大切なのは考え方の切り替えです。AIが出した文章は「下書き」であって「完成品」ではない。この前提を組織で共有しておくことが、いまのところ最も確実な防御になります。
よくある質問（FAQ）
Q1. すでに被害は出ているのですか？
今回公開されたのは研究者による概念実証です。実際の攻撃被害は報告されていません。ただし手口が公開された以上、模倣される可能性はあると考えられています。
Q2. Word以外のアプリも危ないのですか？
研究で実証されたのはWord版Copilotです。ただし問題の原因はAIの設計そのものにあるため、文書やメールを読み込むAI機能には同種のリスクがあると専門家は指摘しています。
Q3. ウイルス対策ソフトで防げますか？
難しいと考えられます。攻撃の中身はただの日本語や英語の文章であり、プログラムのコードではないからです。従来型の検知の仕組みでは引っかかりにくくなっています。
Q4. Microsoftは何も対応していないのですか？
いいえ。144日の調整期間中に複数の修正を投入し、AIモデルの更新も行いました。個別の攻撃手順はふさがれています。ただし攻撃の系統そのものを止める決定打は、まだ見つかっていません。
Q5. 個人でWordを使っている場合も注意が必要ですか？
他人から受け取った文書をCopilotに読ませる習慣があるなら、注意したほうがよいでしょう。逆に自分で書いた文書だけを扱っているなら、リスクは低くなります。
まとめ
- Word版Copilotを悪用し、文書から文書へ自動で広がるAIワームが実証された
- 正体は白背景に白文字で書かれた、人間には見えない命令文
- 2026年3月6日にMicrosoftへ報告。144日たっても攻撃の系統は塞げていない
- 原因はAIが「信頼できる指示」と「信頼できない文書」を同じ場所で読む設計にある
- 2024年のMorris IIと違い、今回は実際の業務製品での実証だった
- IPAも2026年の10大脅威にAIへの不正入力を挙げており、日本でも警戒が必要
まずは今週中に、社外から届いた文書をCopilotへそのまま読ませない運用ルールを、チームで決めておきましょう。
参考文献
- GIGAZINE「Word版Copilotを狙う自己増殖AIワームが実証される」（2026年7月31日）
- Malwarebytes「Hidden prompt turns Microsoft Copilot into an AI worm」（2026年7月30日）
- CyberInsider「Microsoft Copilot for Word vulnerable to self-propagating worm-like attack」
- Simon Willison「AI Worming through Word」（2026年7月29日）
- arXiv「Here Comes The AI Worm: Unleashing Zero-click Worms that Target GenAI-Powered Applications」（Morris II、2024年3月）
- IPA「情報セキュリティ10大脅威 2026 解説書［組織編］」
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
