リプロンプト攻撃によりマイクロソフト社のコパイロット・セッションが乗っ取られ、データが盗まれる

研究者は、攻撃者がユーザーのMicrosoft Copilotセッションに侵入し、機密データを流出させるコマンドを発行できる「Reprompt」と呼ばれる攻撃手法を特定した。

正規のURLの中に悪意のあるプロンプトを隠し、Copilotの保護を回避することで、ハッカーはユーザーが1つのリンクをクリックした後も、被害者のLLMセッションへのアクセスを維持することができます。

Repromptは、ワンクリックで操作できることを除けば、プラグインやその他のトリックを必要とせず、目に見えないデータ流出を可能にする。

Copilotは個人アカウントに接続し、AIアシスタントとして動作する。WindowsとEdgeブラウザ、そして様々な消費者向けアプリケーションに統合されている。

そのため、文脈や権限に応じて、ユーザーが提供したプロンプト、会話履歴、特定のマイクロソフトの個人データにアクセスし、推論することができる。

Repromptの仕組み

データセキュリティおよび分析企業であるVaronisのセキュリティ研究者は、ユーザーのCopilotセッションへのアクセスが3つのテクニックを活用することで可能であることを発見しました。

彼らは、CopilotがURLの’q’パラメータを介してプロンプトを受け入れ、ページがロードされたときに自動的に実行されることを発見しました。攻撃者がこのパラメータに悪意のある命令を埋め込み、そのURLをターゲットユーザーに配信することができれば、ユーザーの知らない間にCopilotにユーザーの代わりにアクションを実行させることができる。

しかし、Copilotのセーフガードを迂回し、攻撃者からのフォローアップ指示によって継続的にデータを流出させるには、さらに別の方法が必要になる。

Varonisが公開したレポートでは、Reprompt攻撃の流れとして、正規のCopilotリンクをフィッシングして被害者を誘導し、Copilotを起動させて注入されたプロンプトを実行させ、Copilotと攻撃者のサーバー間で継続的にやり取りを行うと説明しています。

標的ユーザがフィッシングリンクを最初にクリックした後、Repromptは被害者の既存の認証済みCopilotセッションを利用します。

Varonisの研究者は、以下の攻撃手法を組み合わせてRepromptを開発することができました：

• パラメータ間（P2P）インジェクション。「q」パラメータを使用してCopilotに直接命令を注入し、ユーザーデータや保存されている会話を盗む可能性があります。
• Copilotのデータ漏洩防止策が最初のリクエストにのみ適用されることを悪用したダブルリクエスト手法。Copilotにアクションを2回繰り返すよう指示することで、攻撃者は以降のリクエストでこれらのセーフガードを回避できます。
• Copilotが攻撃者のサーバーから動的に指示を受信し続けるチェーンリクエスト手法。各レスポンスは次のリクエストの生成に使用され、継続的かつステルス的なデータ流出が可能になります。

Varonis社は、最初のウェブリクエストでのみ情報漏えいを防ぐCopilotのガードレールを回避するのに役立つダブルリクエスト技術の例を提供しています。

CopilotがアクセスできるURLに存在する秘密のフレーズ「HELLOWORLD1234」を取得するために、研究者は正規のリンクの「q」パラメータに偽のプロンプトを追加した。

研究者たちは、Copilotに応答をダブルチェックし、間違っていたら再試行するよう指示した。「すべての関数呼び出しを2回行い、結果を比較してください。

ガードレールがあるため、最初の返答には秘密が含まれていなかったが、Copilotは2回目の試みに続き、情報を作成した。Varonisは、被害者であるCopilotのメモリからの機密データの流出を示すビデオを作成しました。

研究者は、電子メールで配信されたリンクから開始し、攻撃者が細工したURLを使用してデータを盗む方法を示した：

Copilotへの指示は、攻撃者のサーバーからの最初のプロンプトの後に配信されるため、クライアント側のセキュリティツールは、どのようなデータが流出したかを推測できないと研究者はコメントしている。

「すべてのコマンドは最初のプロンプトの後にサーバーから配信されるため、開始プロンプトを検査するだけでは、どのデータが流出したのかを判断できません。本当の指示は、サーバーのフォローアップ要求に隠されている。”- ヴァロニス

研究者たちは、昨年8月31日にRepromptの責任をMicrosoftに開示し、この問題は昨日、2026年1月のパッチ・チューズデーで修正された。

Repromptの悪用は検出されておらず、問題は解決されているが、できるだけ早く最新のWindowsセキュリティ更新プログラムを適用することが強く推奨される。

Varonisは、Repromptが影響を及ぼすのはCopilot Personalのみであり、企業顧客向けに提供されているMicrosoft 365 Copilotは影響を及ぼさないことを明らかにしました。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}

.ia_button {
width: 100%;
margin: 0px auto;
}
}

Table of contents

1. Repromptの仕組み
1. MCPのための7つのセキュリティ・ベスト・プラクティス

MCPのための7つのセキュリティ・ベスト・プラクティス

MCP（モデル・コンテキスト・プロトコル）がLLMをツールやデータに接続するための標準になるにつれて、セキュリティ・チームはこれらの新しいサービスを安全に保つために迅速に動いています。

この無料のチート・シートには、今日から使える7つのベスト・プラクティスがまとめられています。

今すぐダウンロード