要約: PromptArmorが公開した検証記事。Microsoft 365のCopilot Coworkで、細工されたskillファイルに間接プロンプト注入を仕込むと、SharePointやOneDrive上の文書リンクをTeamsメッセージ経由で外へ持ち出せる、という設計上の危険を示している。特に「自分宛てのメールやTeams送信は承認なしで実行される」挙動が攻撃連鎖の要になっている。
これは単に「AIが危ない」という話ではない。権限委譲、外部ツール、承認フロー、通信経路がつながったときに、どこで情報流出の経路が生まれるかを示した例として読むと分かりやすい。エージェントを便利にするほど、モデル本体より周辺システムの境界設計が主戦場になる。
この記事で怖いのは、モデルが特別に高度だから漏れるわけではない点だ。メール送信、Teams送信、外部画像読み込み、事前認証リンクといった通常機能が並ぶだけで、情報の出口ができてしまう。エージェント設計では、権限、自動承認、外部送信先を個別に見るだけでなく、連鎖として点検する必要がある。