🔐 AISec Plus — 第1週: 脅威をマッピングする

研究者: Daniel Ossai Repo: aisecplus-week01-danielossai 提出: 第1週 · AISec Plus ブートキャンプ

---

📌 インシデント名と日付

EchoLeak (CVE-2025-32711) 発見: 2025年1月 · 開示: 2025年6月 · 修正: 2025年6月

---

📝 何が起こったか

Aim Securityの研究者らは、Microsoft 365 Copilotに重大なゼロクリック間接プロンプトインジェクション脆弱性を発見しました。攻撃者は、ユーザーの操作を一切必要としない単一の細工されたメールを送信するだけで、Copilotに内部ファイルへサイレントアクセスさせ、その内容を攻撃者が制御するサーバーに流出させることができました。

被害者は何もクリックする必要はなく、添付ファイルを開く必要もありませんでした。受信トレイにメールがあるだけで、Copilotは隠された悪意のある指示を処理し、機密の企業データを漏洩し始めるのに十分でした。

Microsoftはこれに CVE-2025-32711 を割り当て、CVSSスコアは 9.3（重要） です。これは、プロダクションAIシステムにおいてプロンプトインジェクションが具体的なデータ流出に武器化された初めての文書化された事例です。Microsoftはサーバーサイドで修正しました。実際の悪用は確認されていません。

---

⚙️ 攻撃の仕組み

この攻撃は、4つの異なるバイパスを連鎖させてサイレントデータ流出を達成しました。

ステップ1 — XPIA 分類器のバイパス Microsoft 365 Copilotは、クロスプロンプトインジェクション攻撃（XPIA）分類器を使用して悪意のある指示を検出しブロックします。攻撃者は、人間の受信者に向けられたように見える自然言語でプロンプトを作成することでこれをバイパスしました。AI、Copilot、または技術的なトリガーワードには一切言及せず、分類器はそれをフラグしませんでした。

ステップ2 — リンク編集機能のバイパス Copilotは通常、外部リンクを編集（リダクション）してデータがM365環境外に出るのを防ぎます。攻撃者は参照形式のMarkdown書式を使用してこれを回避し、Copilotは編集フィルターをトリガーせずにレンダリングしました。

ステップ3 — 自動フェッチ画像の悪用 埋め込み画像に対するCopilotの自動フェッチ動作を悪用し、攻撃者が管理するサーバーへの外部HTTPリクエストを開始し、リクエストパラメータに流出データを含めました。

ステップ4 — Teams プロキシ経由のコンテンツセキュリティポリシー (CSP) バイパス Microsoft Teamsは、M365のコンテンツセキュリティポリシー内で信頼されたプロキシとして動作します。攻撃者はこの許可されたプロキシを経由して流出リクエストをルーティングし、CSPを完全にバイパスしました。

結果: ユーザーの操作なしに、LLMの信頼境界を越えた完全な権限昇格。ペイロードは純粋なテキストであり、コードもマルウェアシグネチャもありませんでした。Copilotは設計通りに動作していました。つまり、入力を処理し、役立つように応答していたのです。アンチウイルス、ファイアウォール、静的ファイルスキャンといった従来の防御は完全に無効でした。

---

🗺️ 脅威マッピング

重要な洞察: これは教科書的な 間接プロンプトインジェクション です — 悪意のある指示はユーザーではなく外部ソース（メール）から来ました。LLMは信頼された開発者コンテキストと信頼されていない外部コンテンツを区別できませんでした。

---

💥 影響

EchoLeakは、単なる一度きりのバグではなく、構造的なリスクを表しています。

• 即時のリスク: M365 Copilotを有効にしているすべての組織は、単一の細工されたメールによるサイレントデータ流出の可能性があった
• 範囲: Word、PowerPoint、Outlook、Teams全体で機能 — Copilotがコンテンツを処理する任意の画面
• 新規性: プロダクションAIエージェントに対する最初の確認されたゼロクリックエクスプロイト。これまでで初めて、プロンプトインジェクションが実際のエンタープライズシステムで実際のデータ流出を達成
• 広範な示唆: 構造的な攻撃対象領域は、Microsoftの実装だけでなく、複数の内部データソースにアクセスできるLLMベースのアシスタントすべてに当てはまる
• 確認された悪用: 実際の悪用はなし。既知の悪用が発生する前にMicrosoftがサーバーサイドで修正

---

🛡️ 予防と防御

Microsoftが実施したこと:

• サーバーサイドパッチの適用（顧客の操作は不要）
• Copilotが外部メールを処理するのをブロックするDLPタグの導入
• Copilotのメールアクセスを制限する新しいM365ロードマップ機能

より広範な教訓:

• データアクセスのスコープ制限 が本当の修正 — 脆弱性が悪用される前にCopilotが到達できる範囲を制限する
• 外部コンテンツを信頼されていないものとして扱う — メール、ドキュメント、Webコンテンツはシステム指示と同じ信頼境界内にあってはならない
• 指示とデータのチャネルを分離する — LLMはユーザーのメールとオペレーターコマンドを混同してはならない
• 出力サンドボックス化 — モデルがシステム外に送信する前に何を許可するかをフィルタリングおよび検証する
• 個別のCVEにパッチを当てるだけでは不十分。アーキテクチャパターン（LLM + RAG + 広範なデータアクセス）を設計により強化する必要がある

---

🔗 出典

1. The Hacker News — ゼロクリックAI脆弱性、ユーザー操作なしでMicrosoft 365 Copilotデータを露出 https://thehackernews.com/2025/06/zero-click-ai-vulnerability-exposes.html

2. Hack The Box — CVE-2025-32711 (EchoLeak) 内部: プロンプトインジェクションとAI流出の融合 https://www.hackthebox.com/blog/cve-2025-32711-echoleak-copilot-vulnerability

3. Checkmarx — EchoLeak (CVE-2025-32711): 攻撃チェーン分析 https://checkmarx.com/zero-post/echoleak-cve-2025-32711-show-us-that-ai-security-is-challenging/

4. Sentra — EchoLeak: Microsoft Copilotプロンプトインジェクション脆弱性があなたのデータに与える影響 https://sentra.io/blog/copilot-echoleak-prompt-injection

5. arXiv — EchoLeak: プロダクションLLMシステムにおける最初の現実世界ゼロクリックプロンプトインジェクションエクスプロイト https://arxiv.org/abs/2509.10540

---

AISec Plus · 第1週 · 私たちは皆成長しています。参加して、構築して、改善しましょう。