汚染されたドキュメントが、アシスタントが私について知っているすべてを、なぜ気づかれることなく外部に流出させることができるのか？

2025年6月、Aim SecurityはEchoLeakを公開した。これは、本番AIシステムから実際のデータ流出を引き起こした、初めて記録されたゼロクリックプロンプトインジェクションである。単一の悪意あるメールが、ユーザーの操作なしにMicrosoft Copilotに機密データを送信させた。構造的な問題は、永続的なメモリとツール呼び出しアクセスを持つAIアシスタントが、2つの危険な特性を組み合わせていることである。それらは蓄積されたパーソナルコンテキストを保持し、信頼できないコンテンツに埋め込まれた指示に従って行動させることができる。アシスタントが読む新しいドキュメント、メール、ウェブページはすべて、潜在的な指示の実行面となる。ユーザーがアシスタントに保持させる記憶と、外部コンテンツから受け取る指示の間に隔離境界は存在せず、現在のサンドボックス化の提案はツール呼び出しには対処しているがメモリの読み取りアクセスには対処していない。