AIが私たちの仕事や暮らしに深く浸透し始めた今、その便利さとともに新たなセキュリティリスクも生まれています。特に注目されたのが、2025年に発見された「Copilotゼロクリック攻撃（通称：EchoLeak）」。
これは、AIアシスタントを標的とした初の「ゼロクリック型」の脆弱性であり、人の操作を介さず情報が漏えいするという非常に深刻なリスクを示しました。
この記事では、Copilotゼロクリック攻撃の仕組み、脆弱性の詳細、他AIへの波及リスク、今後のセキュリティ対策についてわかりやすく解説します。
Microsoft Copilotとは？
Microsoft Copilotは、WordやExcel、Outlook、TeamsなどのMicrosoft 365製品に組み込まれたAIアシスタントです。自然言語による質問に対し、社内の文書、メール、チャット履歴などから情報を集めて回答します。
業務効率化や情報整理の面で高く評価されていますが、AIが幅広いデータにアクセスできるという特性が、今回の攻撃において大きなリスクとなりました。
▼ Microsoft Copilotとは
ゼロクリック攻撃とは？
ゼロクリック攻撃とは、ユーザーが何も操作しなくても成立するサイバー攻撃です。従来の攻撃が「リンクをクリックさせる」「ファイルを開かせる」といった人間の行動を前提としていたのに対し、ゼロクリック攻撃では一切の操作が不要です。
AIが自律的に判断・実行する仕組みを逆手にとって、情報を盗み出すことが可能になります。
EchoLeak：プロンプトインジェクションの仕組みと発見の経緯
2025年1月、Aim Securityによって発見されたEchoLeakは、Microsoft Copilotに対する初のゼロクリック脆弱性です。CVSSスコアは9.3（Critical）で、AIが人間のように解釈する性質を逆手に取った攻撃手法です。
Microsoftは5月までに修正対応を完了しましたが、AI時代の新たなリスクとして高い注目を集めました。
Copilotゼロクリック攻撃の仕組み
攻撃者は業務メールを装って、標的となる従業員に悪意あるプロンプトを含んだメールを送信します。このメールは一見通常の連絡に見えますが、Copilotが後にこのメールを参照すると、内部に隠された命令が実行されます。
Copilotは質問に答える過程で、社内データから情報を収集し、回答内にそれを含めます。その回答に仕込まれた画像リンクなどを通じて、機密情報が外部へ送信されてしまうのです。
Copilotが狙われた理由
CopilotはMicrosoft 365と統合されており、社内のあらゆる情報資産へのアクセス権を持ちます。攻撃者にとっては、個別に侵入するよりもAIを騙す方が効率的に情報を引き出せるため、非常に魅力的なターゲットとなります。AIの持つ利便性が、同時にセキュリティ上の脅威に転じた格好です。
Copilotゼロクリック攻撃になぜ気づけたのか？発覚のきっかけ
EchoLeakの存在が明らかになったのは、セキュリティ監査中に「AIが不自然な外部リンクを含んだ回答を出力している」という異常が複数の企業で検出されたことがきっかけでした。初めは個別の誤作動と思われましたが、共通のプロンプトパターンと外部送信先が確認され、ゼロクリック攻撃としての手口が判明しました。
何が起きている？AI時代の新たな脅威
Copilotへのゼロクリック攻撃は単なる個別の事件ではなく、AIそのものが攻撃対象となる時代の到来を意味しています。このセクションでは、従来のセキュリティでは対処しきれない「AI特有のリスク」について掘り下げていきます。AIが業務に深く組み込まれている現代において、何が起きているのかを正しく把握することが重要です。
攻撃対象が人からAIへ
従来の攻撃は、ユーザーにクリックや開封をさせることが前提でした。しかしEchoLeakではAIが自動で騙され、勝手に情報を外部へ送信してしまいます。
これは、攻撃の対象が「人」から「AI」へとシフトしていることを意味します。AIが自律的に行動するからこそ、その行動が攻撃者にとって都合のよいものになってしまうのです。
セキュリティ教育が通用しない世界
従業員へのセキュリティ教育は従来から重要とされてきましたが、EchoLeakのような攻撃には無力です。社員がどれだけ注意深く行動しても、AIが意図せず情報を漏らすのであれば、従来型の対策だけでは十分ではありません。
これは、セキュリティ戦略の根本的な見直しが必要であることを示しています。
ChatGPTやGeminiなどのAIへの波及リスク
EchoLeakのようなプロンプトインジェクション型の攻撃は、Copilotに限らず、他の生成AIやアシスタントAIにも波及する可能性があります。
たとえば、GoogleのGeminiでは、Gmailのメール本文に隠されたテキストを自動要約機能が読み取り、不正な誘導を行う可能性が指摘されました。
OpenAIのChatGPTでも、巧妙に作られたプロンプトにより、本来出力してはいけない内容を生成してしまう例が報告されています。
この脆弱性を放置するとどうなる？被害と影響について
Copilotがアクセス可能な範囲には、営業資料、人事データ、経営戦略文書など、多くの機密情報が含まれています。攻撃者がAIを経由してそれらを取得すれば、企業の競争力に直結する情報が外部に流出する恐れがあります。場合によっては、法的な責任を問われる可能性もあります。
実際考えられるリスクとして以下の３点があげられます。
- AIスコープハイジャックの拡大：Copilotや他のAIが参照する「質問の文脈」に外部から不正な情報を混入し、意図しない出力を誘導する攻撃が増加します。たとえば、業務チャットに自然に挿入された悪意あるコメントが、AIの誤認につながるケースが想定されます。
- データポイズニングの巧妙化：AIが学習する文書群に不正な情報（例：特定のURLや命令語）を紛れ込ませ、将来の出力に悪影響を及ぼす「毒入りデータ」が組織内で静かに拡散するリスクが高まります。
- AIを経由した二次攻撃の台頭：AIが生成するコンテンツがフィッシングやマルウェア配布の踏み台として利用されるリスクがあります。たとえば、AIが生成した社内通知に攻撃者の意図した外部リンクが挿入され、それをクリックした別の従業員が被害に遭うなど、連鎖的な被害拡大も懸念されます。
また、情報漏えいが明るみに出れば、企業の社会的信用は大きく傷つきます。さらに、個人情報保護法やGDPRなどの規制にも抵触する可能性があり、損害賠償や罰金といった法的リスクも現実のものになります。
対策：私たちはどう防ぐべきか？
AIを活用する時代においては、従来のセキュリティ対策だけでは不十分です。このセクションでは、企業・個人それぞれの立場から実践可能な対策と、Microsoftやセキュリティ業界が講じている対応策について詳しく見ていきます。
セキュリティ業界とMicrosoftの対応
AIが業務に深く関わる現代において、EchoLeakのような攻撃は、従来のセキュリティの常識を覆すものでした。この脆弱性の発覚をきっかけに、AI自体が新たな攻撃対象となりうる現実が浮き彫りとなり、業界全体での対応が求められています。
- Microsoftは、Copilotが生成する回答内の外部画像リンクやURLを自動検出する機能を強化。
- アクセス権限の見直しや、Microsoft Purviewによるセキュリティラベルの導入を推進。
- セキュリティ業界では、AI専用のリスク評価やプロンプトインジェクション対策の研究が加速。
このように、AI時代のセキュリティ対策には、AIの仕様や動作を理解したうえでの新たな戦略が不可欠になっています。
企業が行うべき対策
企業レベルでの対応は、具体的な技術対策と社内の意識改革を両輪で進める必要があります。実践しやすい例として以下の３つがあげられます。
- AIのアクセス範囲を明確に制限する
- 営業資料はOK、人事・財務ファイルはNGなど、明確なデータ分類とポリシー設定。
- Microsoft Purviewなどで機密度に応じたラベルとアクセス制御を設定。
- AIの出力内容に対するモニタリング体制を構築する
- SIEMツールやログ管理システムで、AIの生成内容を自動的にチェック。
- 不審な外部リンクや異常な文脈を含む出力にフラグを立てる仕組みを導入。
- 社内研修とケース共有によるリテラシー強化
- Copilotが誤って外部リンクを含む回答を生成した事例を共有。
- 「AIの出力内容に対しても注意を向ける」文化を醸成。
個人が気をつけるポイント
AIと日常的に接する従業員一人ひとりが、次のポイントに気を配るだけでも、攻撃を未然に防げる可能性があります。
- 業務に関係ないURLや画像リンクが含まれていないか？
- 不自然な用語や文脈の飛躍がないか？
- メールや出力結果の「いつもと違う感じ」を見逃さないこと
これらはAIがプロンプトインジェクションを受けた可能性のある兆候です。小さな違和感を見逃さず、IT部門に報告することが被害の拡大を防ぐカギになります。
まとめ：AIと共に歩む未来のセキュリティ戦略
AIの進化は、社会のあり方を大きく変える可能性を秘めています。しかし、その便利さの裏には、これまでにない新たな脅威が潜んでいます。Copilotゼロクリック攻撃（EchoLeak）は、まさにその象徴といえる出来事でした。
今後は「AIに対するセキュリティ」という新しい観点を取り入れ、技術・制度・教育を三位一体で整備していくことが求められます。EchoLeakの教訓を活かし、AIとの共存をより安全なものとするために、新たなセキュリティ戦略を築いていく時代に突入しているのです。
コメント