Microsoft Security Blogの2026年6月22日更新「Guarding AI memory」は、AI memory poisoningに対する“新しい単独設定”の案内ではなく、AI memoryを安全に使うために管理者が確認すべき考え方と既存の管理ポイントを整理したResearch記事です。実務で最初に確認すべきなのは、Microsoft 365 CopilotのEnhanced personalization、ユーザー側のSettings > Personalization、Microsoft Purviewや監査ログでの可視化、そしてユーザーへの周知内容です。AI memoryは便利な一方で、攻撃者が一度のプロンプトではなく、時間差で記憶に影響を与えるリスクを持つため、導入済みの組織ほど「有効か無効か」だけでなく「誰が使い、何を記憶し、どう調査・削除できるか」まで確認しておく必要があります。Microsoftは同記事をResearchとして公開し、AI memoryの保護をストレージ、検索、モデル操作、ユーザー制御を含む多層防御で扱うと説明しています。(Microsoft)
Microsoft SecurityのAI memory poisoning研究で何が問題になっているのか
Microsoft Securityの「Guarding AI memory」で取り上げられている中心テーマは、AI memoryによってAIシステムが一時的な応答ツールから、過去の情報を保持して次回以降の応答に反映する“継続的な協働者”になる点です。これはユーザーの好みや業務文脈を覚えられるという利点がありますが、同時に攻撃面も広げます。Microsoftは、AI memoryが攻撃者に「一度の会話で成功する必要がない」状況を生み、悪意ある記憶が後の会話やツール呼び出しに影響する可能性を説明しています。(Microsoft)
ここでいうAI memory poisoningは、単純に「危険なプロンプトを入力される」問題ではありません。たとえば、ユーザーが共有ドキュメントを開き、その中に見えにくい形で悪意ある指示が含まれていた場合、AIアシスタントがすぐに危険な動作をしなくても、後日別の会話でその記憶が作用する可能性があります。Microsoftのブログでは、このような時間差のある攻撃を、元の文脈から離れて実行される点が危険だと説明しています。(Microsoft)
管理者が誤解しやすいのは、「AI memory poisoning対策」という名前の専用スイッチを探してしまうことです。現時点で実務上見るべきなのは、AI memoryを許可するテナント設定、ユーザーが自分の記憶を管理する画面、監査・eDiscovery・削除に関する運用、そして機密情報を扱う時の利用ルールです。
まず確認すべき設定場所はEnhanced personalization
Microsoft 365 CopilotのAI memoryに関係する管理側の主要な制御は、Enhanced personalizationです。Microsoft Learnでは、Enhanced personalizationはCopilot memoryをエンドユーザーが利用できるようにする制御であり、既定ではオンと説明されています。管理者が何もしなくてもCopilot memoryが有効になる場合があるため、導入組織では「明示的に有効化した覚えがないから関係ない」と考えず、現在の状態を確認することが重要です。(Microsoft Learn)
Enhanced personalizationは、Microsoft 365 Copilotがユーザーごとの作業知識やコミュニケーション由来の情報を使って、より個別化された体験を提供するための制御です。Microsoftの説明では、この制御を無効化すると、Copilot memoryなど、このデータ処理に依存する機能が使えなくなる場合があります。(Microsoft Learn)
| 確認項目 | 見るべき内容 | 実務上の判断 |
|---|---|---|
| Enhanced personalization | テナントで有効か、特定グループで無効化しているか | 全社有効にする前に、機密部門やパイロット部門を分けて確認する |
| ユーザー側のPersonalization | Saved memories、Custom instructions、Chat historyが使えるか | ユーザーが自分で記憶を確認・削除できる状態か確認する |
| データ保管場所 | メモリがユーザーのExchangeメールボックス内の隠しフォルダーに保存される点 | Exchange、Purview、DSR対応の運用と結び付けて確認する |
| 監査・調査 | 監査ログ、eDiscovery、Graph Explorerで追える範囲 | インシデント時に誰が何を調べるかを事前に決める |
| 周知 | 何を覚えさせてよいか、削除方法、問い合わせ先 | 機能説明だけでなく、禁止例と相談先を明示する |
管理画面だけで完結しない点に注意する
AI memoryの確認で注意したいのは、Microsoft 365管理センターの画面だけを見ても十分ではない場合があることです。Microsoft Learnでは、Enhanced personalizationの制御をプログラムから構成する方法としてMicrosoft GraphのenhancedPersonalizationSettingが案内されています。このAPIは/betaで提供されており、Microsoft Graphのbeta APIは変更される可能性があり、本番アプリケーションでの利用はサポート対象外とされています。(Microsoft Learn)
実務では、管理画面で見える設定とGraphで取得できる設定値を突き合わせるのが安全です。特に、グループ単位で無効化している場合や、パイロット運用から全社展開へ移行した組織では、設定変更の履歴や対象グループの棚卸しが抜けやすくなります。
Graphで確認できる代表的な値は次の2つです。
| プロパティ | 意味 | 確認ポイント |
|---|---|---|
isEnabledInOrganization | 組織全体でEnhanced personalizationを有効にするか | trueの場合、関連機能が使える前提で周知と監査体制を整える |
disabledForGroup | 無効化対象にするMicrosoft EntraグループID | 機密部門、役員、法務、人事などを除外する設計になっているか確認する |
取得はGET /copilot/settings/people/enhancedpersonalization、更新はPATCH /copilot/settings/people/enhancedpersonalizationで行うとMicrosoft Learnに記載されています。読み取りにはPeopleSettings.Read.All、更新にはPeopleSettings.ReadWrite.Allが最小権限として示されており、委任アクセスで更新する場合の最小ロールはPeople Administratorです。(Microsoft Learn)
ユーザー側の設定場所はSettings > Personalization
ユーザーが自分のCopilot memoryを確認・管理する場所は、Microsoft 365 Copilot Chatの設定内にあるPersonalizationです。Microsoft Supportでは、ユーザーがCopilot Chat右上のメニューからSettingsを開き、Personalizationを選択してSaved memoriesを管理できると案内しています。Saved memoriesでは、個別の記憶の削除や全削除ができます。(Microsoft サポート)
管理者側でEnhanced personalizationをオフにした場合、ユーザー側のCustom instructions、Saved memories、Chat historyの各コントロールはオフとして表示され、ユーザー自身ではオンにできません。つまり、「ユーザーに設定画面が見えない」「Saved memoriesが使えない」という問い合わせが来た場合、まずユーザーの操作ミスではなく、テナントまたは対象グループのEnhanced personalization設定を疑うべきです。(Microsoft Learn)
ユーザー周知では、次のように具体的に案内すると問い合わせを減らせます。
| ユーザーの疑問 | 周知すべき回答 |
|---|---|
| Copilotは何を覚えるのか | チャットから有用と判断した業務上の好みや役割、明示的に覚えるよう依頼した内容などが対象になる |
| 勝手に全部記憶されるのか | すべての会話内容をそのまま保存するわけではないが、業務上有用と判断された情報が記憶に使われる場合がある |
| 機密情報を覚えさせてよいか | パスワード、認証情報、未公開の人事情報、顧客の機微情報などは記憶させない |
| 間違った記憶は消せるのか | Settings > Personalization > Saved memoriesから削除できる |
| オフにすれば過去の記憶も消えるのか | オフにしても既存のSaved memoriesが自動削除されるとは限らないため、削除操作が必要 |
特に重要なのは、「オフにする」と「削除する」は同じではない点です。Microsoft Learnでは、管理者がEnhanced personalizationをオフにした場合や、ユーザーがSaved memoriesをオフにした場合でも、Copilotが保存済みメモリをチャットに適用しなくなるだけで、保存済みメモリ自体が削除されるわけではないと説明されています。(Microsoft Learn)
利用条件で確認すべきポイント
Copilot memoryは、Microsoft 365 Copilotライセンスの有無にかかわらずCopilot Chatユーザーに提供されるとMicrosoft Learnに記載されています。ただし、Copilot personalization and memoryはプレビューであり、変更される可能性があります。したがって、社内規程や運用手順に書く場合は「現時点の仕様」として扱い、定期的に公式ドキュメントを確認する前提にした方が安全です。(Microsoft Learn)
実務で見るべき利用条件は、単なるライセンス確認だけではありません。次の順に確認すると、抜け漏れを防ぎやすくなります。
| 確認順 | 確認内容 | 判断基準 |
|---|---|---|
| ライセンス・対象ユーザー | Copilot ChatまたはMicrosoft 365 Copilotを使うユーザー範囲 | 全社員か、特定部門か、管理者やSOCだけかを明確にする |
| Enhanced personalization | 既定オンのまま使うか、除外グループを設けるか | 機密度が高い部門は段階導入を検討する |
| Exchange mailbox | メモリがユーザーのExchangeメールボックス内に保存される点 | メールボックス管理、退職者対応、DSR対応と整合させる |
| Purview/eDiscovery | 検索・エクスポート・削除の手順 | 情報開示請求やインシデント対応時に手順化しておく |
| ユーザー教育 | 記憶させてよい情報と禁止情報 | セキュリティ教育や生成AI利用ガイドラインに追記する |
Microsoft Learnでは、Copilot memoryはユーザーのExchangeメールボックス内の隠しフォルダーに保存され、他のメールボックスデータと同様にCustomer Lockboxや保存時暗号化などのセキュリティ・コンプライアンス方針に従うと説明されています。(Microsoft Learn)
監査ログとeDiscoveryで確認できることを整理する
Microsoft Security Blogでは、Microsoft 365 Copilotがメモリ更新時の情報を組織の監査ログに記録し、Defender Advanced Hunting、Defender Sentinel、Azure Portal Sentinel AnalyticsのMemoryUpdatedフィールドを既存分析と結合して、メモリ活動のトリアージやアラート作成に使えると説明しています。(Microsoft)
一方で、Microsoft Learnの「Manage Copilot personalization and memory」では、Memory and personalization actionsはPurviewで監査ログエントリを生成しないと記載されています。ここは混同しやすいポイントです。ブログはMicrosoft Security研究として、利用可能な可視化や今後の投資を含めて説明している一方、管理ドキュメントではCopilot memory管理に関する現時点の制約が明記されています。実務では、対象テナントで実際にどのログが取得できるかを、Microsoft Purview、Defender、Sentinelの各画面で確認し、監査手順に反映する必要があります。(Microsoft)
Microsoft Purviewの監査ログでは、CopilotやAIアプリケーションに関するユーザー操作・管理者操作が自動的に記録されます。Microsoft Learnは、Copilotとのやり取りにおいて、どのユーザーがいつ、どこで操作したか、Copilotが応答生成に使ったファイルやサイトなどのリソース参照が含まれると説明しています。(Microsoft Learn)
ただし、AI memory poisoningの調査では「Copilotを使ったか」だけでなく、「どのコンテンツが参照され、どの記憶が後から影響した可能性があるか」を追う必要があります。通常のプロンプト監査だけでは時系列が途切れやすいため、次の観点でログを突き合わせる運用が必要です。
| 調査観点 | 確認するもの | 見落としやすい点 |
|---|---|---|
| 入口 | ユーザーが開いた共有ドキュメント、メール、Teamsメッセージ | 悪意ある指示が本文ではなく、見えにくい形式で含まれる可能性 |
| 記憶化 | Memory updatedに相当するイベントや関連するCopilot操作 | メモリ更新がユーザーの明示的操作に見えない場合がある |
| 後続動作 | 後日のチャット、ツール呼び出し、ファイル参照 | 元の文脈と離れているため関連付けが難しい |
| 影響範囲 | 同じ文書を開いたユーザー、同じエージェントを使ったユーザー | 一人の問題に見えて、共有コンテンツ経由で広がる可能性 |
| 是正 | メモリ削除、共有ファイル隔離、アクセス権見直し | ユーザーがオフにしただけでは保存済みメモリが残る場合がある |
eDiscoveryと削除対応で確認すべきこと
AI memoryの運用では、ユーザー本人の削除操作だけでなく、管理者がデータ主体要求やインシデント対応として検索・エクスポート・削除できるかも確認が必要です。Microsoft Learnでは、管理者がeDiscoveryとMicrosoft Graph Explorerを使ってユーザーのmemory dataを検索、エクスポート、削除できると説明しています。また、Copilot memoryを検索する場合はアイテムクラス<IPM.Contact>を検索し、Copilot memoryはCopilotMemoryフォルダーにあると案内されています。(Microsoft Learn)
一方で、すべてが同じように扱えるわけではありません。Microsoft Learnでは、Saved memoriesとチャット履歴から推定された記憶はeDiscoveryとMicrosoft Graph Explorerで検出可能ですが、Custom instructionsは現時点ではこれらのソリューションで検出できず、ユーザーがSettings > Personalizationから手動でエクスポートする必要があると説明されています。(Microsoft Learn)
実務では、次のように削除シナリオを分けておくと混乱しにくくなります。
| シナリオ | 対応者 | 主な対応 |
|---|---|---|
| ユーザーが不要な記憶を消したい | ユーザー本人 | Settings > Personalization > Saved memoriesで個別削除または全削除 |
| 部門ポリシーでmemory利用を止めたい | Microsoft 365管理者 | Enhanced personalizationをオフ、または対象グループを無効化 |
| インシデントで悪意ある記憶を調査したい | SOC、Microsoft 365管理者、Purview担当 | Copilot操作ログ、関連リソース、eDiscovery、Graph Explorerを組み合わせて調査 |
| データ主体要求に対応したい | コンプライアンス担当 | eDiscoveryで検索・エクスポートし、必要に応じて削除 |
| Custom instructionsを確認したい | 原則ユーザー本人 | ユーザー側のPersonalization設定から確認・エクスポート |
AI memory poisoning対策として管理者が今すぐ確認する手順
ここでは、Microsoft Securityの研究内容を受けて、管理者が実際に行うべき確認手順に落とし込みます。ポイントは、いきなり全社無効化を検討するのではなく、現在の利用状況と調査可能性を把握することです。
現在のEnhanced personalization状態を確認する
まず、テナント全体でEnhanced personalizationが有効か確認します。Graphを使う場合は、GET /copilot/settings/people/enhancedpersonalizationで現在値を確認します。isEnabledInOrganizationがtrueであれば、組織として関連する個人化機能が使える状態です。disabledForGroupにグループIDが入っている場合は、そのグループのメンバーが無効化対象です。(Microsoft Learn)
確認時は、単に値を見るだけでなく、グループの中身まで確認してください。たとえば、以前の検証で作った一時グループが残っている、機密部門だけを除外したつもりが全社ユーザーを含むグループを指定している、といったミスが起きやすいためです。
対象ユーザーのPersonalization画面を確認する
次に、代表ユーザーでCopilot ChatのSettings > Personalizationを確認します。管理者側で有効にしていても、ユーザー側にSaved memories、Custom instructions、Chat historyのコントロールがどう表示されるかは、周知資料を作るうえで重要です。
確認するユーザーは、少なくとも次の4種類に分けると実態を把握しやすくなります。
| 確認ユーザー | 目的 |
|---|---|
| 標準ユーザー | 通常の利用者にmemory設定がどう見えるか確認する |
| 機密部門ユーザー | 除外グループや制御が正しく効いているか確認する |
| 管理者ロールを持つユーザー | 管理者がCopilotを使う場合のリスクを確認する |
| 新規ユーザーまたは異動者 | ライセンス付与やグループ変更後の反映を確認する |
Purview、Defender、Sentinelで見えるログを確認する
AI memory poisoningの実務リスクは、攻撃が時間差で起きる点にあります。そのため、監査ログやセキュリティ運用画面で、後から調査できる情報を事前に確認しておく必要があります。
Microsoft Purviewの監査ログではCopilotやAIアプリケーションの操作に関するレコードが扱われ、アクセスしたリソース、アプリホスト、エージェント情報、検出されたCross Prompt Injection Attackに関する項目などが含まれる場合があります。運用担当者は、Copilot関連ログを検索できる権限、保存期間、アラート化の要否を確認しておきましょう。(Microsoft Learn)
SOCがDefenderやSentinelを使っている場合は、AI memory関連のフィールドを既存の検知ルールに加えられるかを検証します。特に、機密ファイルにアクセスした直後のmemory更新、外部共有ファイルを起点にしたCopilot操作、通常と異なるエージェントやプラグインの利用は、優先的に監視候補にすべきです。
保持と削除の誤解を解消する
Microsoft Learnでは、Purviewで設定した保持ポリシーや保持ラベルはCopilot memoryには適用されないと説明されています。たとえば、Copilot Chatのやり取りを3か月後に削除する保持ポリシーを設定していても、ユーザーのmemoryが同じタイミングで削除されるわけではありません。(Microsoft Learn)
これはコンプライアンス担当が特に見落としやすい点です。チャット履歴、Saved memories、Custom instructions、memory dataは扱いが異なります。社内規程では「Copilotの会話ログ」と「Copilotが記憶する情報」を同じものとして扱わず、削除方法を分けて記載してください。
ユーザー周知で必ず入れるべき内容
AI memory poisoning対策では、管理者側の設定だけでなく、ユーザーが「何を覚えさせてよいか」を理解していることが重要です。Microsoftのブログでも、AI memoryではユーザーが記憶の影響を理解し、レビュー、編集、削除できることが信頼のために重要だと説明されています。(Microsoft)
社内向けの周知文には、少なくとも次の内容を含めると実務で使いやすくなります。
| 周知項目 | 書き方の例 |
|---|---|
| 利用目的 | Copilotが業務上の好みや役割を覚え、次回以降の回答を個別化するために使われます |
| 禁止事項 | パスワード、APIキー、個人番号、未公開人事情報、顧客の機微情報は覚えさせないでください |
| 削除方法 | Copilot ChatのSettings > Personalization > Saved memoriesから削除できます |
| 異常時の対応 | 覚えさせた覚えのない内容が表示された場合は、削除前にスクリーンショットを取得し、ITまたはSOCへ連絡してください |
| オフの意味 | メモリ機能をオフにしても、保存済みの記憶が自動削除されるとは限りません |
| 問い合わせ先 | 設定が表示されない、削除できない、記憶内容に不審点がある場合の窓口を明記します |
特に「覚えさせた覚えのない内容が出たら、すぐ削除して終わり」ではなく、必要に応じて削除前に証跡を残すよう案内することが大切です。攻撃や誤学習の可能性がある場合、後から調査するには、どのユーザー、どの時刻、どの会話、どのファイルに関連していたかが重要になります。
有効化・無効化の判断基準
AI memoryを使うべきかどうかは、組織のリスク許容度と業務価値のバランスで決めます。全社一律でオンかオフかを決めるより、部門や業務内容ごとに判断する方が現実的です。
| 判断パターン | 向いている組織・部門 | 注意点 |
|---|---|---|
| 全社オン | 生成AI活用を積極的に進め、ユーザー教育と監査体制が整っている組織 | 機密情報の取り扱いルールを明文化する |
| パイロット部門のみオン | まず効果とリスクを検証したい組織 | 利用者、対象業務、評価期間を決める |
| 機密部門だけ除外 | 人事、法務、経営企画、研究開発など機密度が高い部門を持つ組織 | 除外グループのメンテナンスを運用化する |
| 一時的にオフ | 監査・削除手順や周知が未整備な組織 | オフにしても既存メモリ削除とは別対応が必要 |
| 原則オフ | 規制産業や厳格なデータ管理が必要な組織 | 利便性低下とユーザーからの問い合わせに備える |
おすすめは、まず現在値を確認し、機密部門や管理者ロール保有者を含む代表ユーザーで動作を確認したうえで、社内ガイドラインと監査手順を整備する進め方です。Microsoft Securityの研究が示すリスクは、AI memoryの利用そのものを否定するものではなく、記憶が長く残り、後から行動に影響する前提でガバナンスを設計する必要があるという警告です。
よくある失敗と回避策
AI memoryの設定確認では、次のような失敗が起きやすくなります。
| 失敗例 | 何が問題か | 回避策 |
|---|---|---|
| 「既定オン」を知らずに運用している | ユーザーがすでにmemoryを使っている可能性がある | Enhanced personalizationの現在値を最初に確認する |
| ユーザーに削除方法を知らせていない | 誤った記憶や不要な記憶をユーザーが放置する | Settings > Personalizationの操作手順を周知する |
| オフにすれば過去データも消えると思っている | 保存済みメモリが残る可能性がある | 無効化と削除を別手順として扱う |
| 監査ログだけで全部追えると思っている | memory特有の記録や制約を見落とす | Purview、Defender、Sentinel、eDiscoveryで実際に検索テストする |
| 保持ポリシーをCopilot memoryにも適用できると思っている | Copilot memoryに保持ポリシーが適用されない場合がある | memory専用の削除・DSR手順を用意する |
| 機密部門の除外グループを放置する | 異動や組織変更で対象がずれる | 月次または四半期でグループ棚卸しを行う |
実務向けチェックリスト
最後に、管理者が確認すべき項目をチェックリストとして整理します。この記事を読んだ後は、まずテナントのEnhanced personalization状態と、代表ユーザーのPersonalization画面を確認してください。
| チェック | 確認内容 |
|---|---|
| □ | Microsoft Security Blog「Guarding AI memory」の内容を、Researchとして社内関係者に共有した |
| □ | Enhanced personalizationがテナントで有効か無効か確認した |
| □ | disabledForGroupがある場合、対象グループのメンバーを確認した |
| □ | ユーザー側のSettings > PersonalizationでSaved memories、Custom instructions、Chat historyの表示を確認した |
| □ | Memoryをオフにしても保存済みメモリが自動削除されない点を運用手順に入れた |
| □ | eDiscoveryやGraph Explorerでmemory dataを検索・削除する手順を確認した |
| □ | Custom instructionsは管理者側で検出できる範囲に制限があることを理解した |
| □ | Purview、Defender、SentinelでCopilot関連ログを検索できる担当者と権限を確認した |
| □ | 機密情報をmemoryに保存させないためのユーザー周知を作成した |
| □ | 不審なmemory更新があった場合の通報・証跡保存・削除手順を決めた |
AI memoryは、Copilotを業務に合わせて賢くする一方で、記憶が後の応答や行動に影響するため、従来の「その場限りのプロンプト対策」だけでは不十分です。Microsoft SecurityのAI memory poisoning研究を受けて、管理者はまず設定の現在地を確認し、利用対象、除外対象、監査方法、削除方法、ユーザー周知を一つの運用として整えることが重要です。
コメント