モバイルAIアシスタントに脆弱性、セキュリティ上の欠陥が判明

新たな攻撃ベクトルの出現

スマートフォンを自律的に操作するために設計されたモバイル人工知能アシスタントは、サイバー攻撃にとって新たな標的となっています。専門家らの実証によれば、攻撃者はデバイスに標準的な悪意あるアプリケーションをインストールするだけで、アシスタントの動作を密かに操作し、機密データを窃取したり、場合によってはスマートフォンを制御しているコンピュータ上でコマンドを実行したりできることが分かりました。

この包括的な研究の著者らは、著名なオープンソースプロジェクト5件を調査しました。対象となったのはAppAgent、Mobile-Agent v3、Open-AutoGLM、AppAgentX、MobAです。これらのモバイルAIアシスタントの脆弱性に関する詳細な学術的知見は、こちらでご覧いただけます。これらのプラットフォームはいずれも、驚くほど似通った動作原理を採用しています。

アシスタントはまずスマートフォンの画面のスクリーンショットを取得します。続いて、この画像を大規模言語モデルで解析します。そして判断を下し、デバイスへコマンドを送り返す仕組みです。セキュリティ専門家によれば、この特有のアーキテクチャこそが、従来のモバイルアプリケーションには存在しなかった新たな攻撃対象領域を生み出しているといいます。

マシンビジョンの悪用:第一の脆弱性クラス

専門家らは脆弱性を大きく2つのクラスに分類しました。第一のカテゴリーは、アシスタントが画面をどのように「認識」するかに直接関わるものです。人間の視覚とは異なり、モデルはあらゆるピクセルを一つひとつ精査するため、ほとんど目に見えないテキストであっても容易に読み取ってしまいます。

研究者らは、攻撃者がわずか2%から5%程度の不透明度で画面上に指示を重ねて表示できることを実証しました。人間のユーザーには何の変化も認識できません。しかしAIアシスタントは、この隠されたテキストを通常のインターフェース要素として処理し、埋め込まれたコマンドを忠実に実行してしまいます。同様に、悪意ある指示は画面の丸みを帯びた角の部分や、ノッチの下に隠すことも可能です。ユーザーの目には物理的に見えなくても、スクリーンショットにはしっかりと写り込んでしまうのです。

通信チャネルの操作:第二の脆弱性クラス

第二の攻撃クラスは、アシスタントとスマートフォンをつなぐデータ交換チャネルを悪用するものです。著者らは、一部のプラットフォームがスクリーンショットを一時ファイルとして保存していることを発見しました。悪意あるプログラムは、アシスタントがそのファイルにアクセスする前に、この画像を素早く改ざんできます。

その結果、モデルは偽造・改ざんされたスクリーンショットを解析してしまいます。さらに専門家らは、Androidの標準的な仕組みを悪用することで、アシスタントが入力するパスワードや認証コードといった機密データを傍受する手法も特定しました。憂慮すべきことに、特定のシナリオでは、この攻撃に特別な権限は一切必要ありません。

破滅的な複合攻撃シナリオ

最も危険な脅威は、複数の攻撃を組み合わせたシナリオから浮かび上がりました。著者らは、複数の脆弱性を連鎖させることで、攻撃者がスマートフォンという境界を越えられることを実証しています。まず、アシスタントに隠された指示を認識させます。次に、スクリーンショットのデータを操作します。

この後、侵害されたアシスタントは、特別に細工されたコマンドを接続先のホストコンピュータへ送信します。受信側のソフトウェアがこの入力を適切に処理できない場合、攻撃者はユーザーのPC上で任意のコマンドを直接実行する権限を手にしてしまいます。実演のため、専門家らは標準の電卓アプリケーションを起動してみせました。しかし、この同じ手法を使えば、はるかに破壊的な操作も実行し得ると強く警告しています。

システム全体に及ぶアーキテクチャ上の欠陥

厳密なテスト段階では、評価対象となった5つのプロジェクトすべてが、提案された7つの攻撃ベクトルのうち少なくとも6つに対して脆弱であることが判明しました。著者らは、この問題が偶然の産物ではないと結論づけています。むしろ、これらのアシスタントの根本的なアーキテクチャに深く根ざした問題だといえます。これらのアシスタントは本質的に、スクリーンショットの内容やデータ送信チャネルを無条件に信頼してしまう構造になっているのです。

防御を強化するため、専門家らはいくつかの重要な緩和策を提案しています。開発者はスクリーンショットを一時ファイルに保存することをやめるべきです。すべてのデータ交換において、安全な暗号化チャネルを実装する必要があります。さらに、安全性を欠くコマンド実行方式は放棄しなければなりません。最後に、機密性の高い操作を許可する前には、表示されているインターフェースの真正性を暗号学的に検証すべきです。