研究者はCopilotに「なぜコマンドを自動実行させられないのか」と尋ねた。Copilotは理由を説明し——そして隠されたスイッチの名前を口にした。
Varonis Threat Labsは8月18日、マイクロソフトがようやく完全な修正を出したのと同じ日に、CoSnitchの詳細を公開した。研究者はリバースエンジニアリングを一切していない。Copilot Personalに対し、角度を変えて何度も「なぜプロンプトの自動実行が不可能なのか」と尋ねただけだ。丁寧な拒否のたびに背後のアーキテクチャが少しずつ説明され、ついにアシスタントは文書化されていないURLパラメータの名前を自ら明かした。プロンプトを運ぶ既知のパラメータと組み合わせると、リンク一つでページ読み込みの瞬間に攻撃者の指示が走る——クリックも確認も要らない。そこからCopilotは被害者が接続したアカウント、つまりGmail、ドライブ、カレンダー、OneDriveを読み取り、見つけたものをウェブアドレスに詰め込んでそのアドレスを取得し、中身を攻撃者のサーバーへ渡せた。第三の弱点は、ごく普通のウェブページに埋め込んだ指示をCopilotの長期記憶に書き込ませるもので、パスワード変更もセッション失効も端末の再登録も生き延びた。Varonisは2025年12月に報告し、マイクロソフトは2月に連鎖の一部を塞ぎ、残りを8月18日に閉じた。実際に悪用された形跡はない。
なぜ重要かバグは直った。手法は直っていない。アシスタントが出す安全上の拒否は、同時に小さな開示でもある。なぜそれをしないのかを何かしら語らねばならず、その「何かしら」が積み重なれば地図になる。自然言語で自らを説明するシステムを世に出す前には存在しなかった脆弱性の類型であり、個々のパラメータにパッチを当てても解決しない。得られたものがいかに平凡だったかも注目に値する。この攻撃はマイクロソフトのサーバーを破ったのではなく、あなたがすでに与えていた権限を使っただけだ——アシスタントをメールボックスにつなぐとは、まさにそういうことなのだ。
アプリで読む——無料・9言語
関連ニュース
TikTokが見ている動画の中に買い物ボットを入れました。2026-10-06ウィキメディアがOpenAIのエージェントを5月の障害で疑っています。
2026-10-06メタの助手はあなたの周りの全員を一時間ごとに記録しています。
2026-10-05二人の上院議員が暴走エージェントの経営者に刑務所を求めました。
2026-10-05一つのコマンドで、アップルが消した停止スイッチが戻る
2026-10-05