AgentForgerが証明した、AIエージェントが持続的な内部脅威になり得るという事実

Zenity Labsが発見した新たな攻撃手法により、AIエージェントはもはやインストールが必要なマルウェアではなく、攻撃者が「勧誘」して仲間に引き入れることができる、持続的な内部関係者となりつつあることが明らかになりました。

同社の研究者たちは、AgentForgerと呼ばれるフィッシングベースの攻撃手法を発見しました。この手法は、OpenAIのワークスペース内に完全に自律動作するAIエージェントを密かに作成・起動するというものです。

いったん起動すると、このエージェントはOutlook、Slack、SharePoint、Google Driveといったアプリに完全なアクセス権を持ちます。以降はユーザーの操作なしに無期限で動作するよう設定され、「確認しない(never ask)」設定を切り替えることで自らのアクセス権限を自ら承認できるほか、攻撃者からメールで送られてくる新たな指示に基づいて動き続けることも可能です。システムへの広範かつ無制限なアクセスにより、偵察行為や機密データ・認証情報の窃取、被害者へのなりすまし、フィッシングキャンペーンの実行までもが可能になります。

OpenAIはこの脆弱性を報告から4日後に修正しましたが、より大きな視点で見ると、AgentForgerはAIエージェントが暴走した場合に何が起こり得るかを浮き彫りにしています。

「私たちは、ソフトウェアが人間の仕事を単に手助けするだけでなく、人間と共に働く世界へと移行しつつあります」と、エージェント型AIセキュリティプラットフォームZenityの共同創業者兼CTOであるMichael Bargury氏は述べています。「AIエージェントの能力が高まるにつれ、攻撃者は人間に対してこれまで常に行ってきたのと同じように、当然エージェントに影響を及ぼす方法を模索するようになるでしょう」

承認なしに行動し続ける「持続的なオペレーター」

OpenAIのWorkspace Agentsは、Outlook、Gmail、Slack、Google Drive、SharePoint、Teamsと連携し、自律的に動作することができます。ユーザーはエージェントビルダーを開き、エージェントに行わせたい動作を自然言語で記述し、各種ツールに接続し、承認設定を行い、レビュー・テストを経て、アクションのスケジュールを設定した上で公開します。例えば、エージェントは受信メールを自律的に処理したり、承認を得た上でレビューやアクションを実行したり、様々な情報源から情報を集めて日次ブリーフィングを送信したり、ChatGPTやSlackチャンネル内の質問に自動応答したりすることができます。

通常であれば、これは「有用な自動化」だと、Zenityのレッドチーム研究者Mike Takahashi氏はブログ記事に記しています。しかし今回の攻撃では、「同じスケジューラー機能が、そのまま永続化の仕組みへと変貌する」のです。

このエージェント作成の一連の流れは、ユーザーが攻撃者の指示を仕込んだフィッシングリンクをクリックした瞬間に始まります。この攻撃が成立するためには、被害者がChatGPTおよびWorkspace Agentsにログイン済みであり、かつOutlook、Gmail、Slack、Google Drive、SharePoint、Teamsなど他のアプリとの連携を少なくとも1つ有している必要があります。

こうした連携がすでに存在するため、OAuthの同意画面は表示されません。さらに、被害者が別のリンクをクリックしたり、Builderのタブを開いたままにしておいたり、再度ChatGPTにアクセスしたりする必要すらありません。

偽造されたエージェントは「持続的なオペレーター」です。最初のクリック時にインストールされてスケジュールが設定され、あらかじめ決められた時刻にエージェント自身が起動し、件名が「task」となっている攻撃者のメールアドレスからのメールを探し出し、その指示を実行した後、結果を同じ攻撃者が管理するメールアドレスへ送り返します。

検知を逃れられるのは、攻撃者のプロンプトがビルダーに対し、Outlookのアクション承認設定を「確認しない」に切り替えるよう指示しているためです。通常はデフォルトで「常に確認する」となっており、エージェントが許可されていない行動を取れないようにしています。しかし、この設定を切り替えることで、エージェントは人間の承認を得ずに行動できるようになってしまいます。

「AgentForgerは、攻撃者がワンクリックだけであなたのChatGPTワークスペース内に自律型の内部エージェントを配置できることを示しました」とBargury氏は述べています。それ以降、エージェントは情報へのアクセスを継続し、様々な情報源から認証情報を収集し、従業員になりすまし、「信頼された被害者の身元を悪用しながら」フィッシング攻撃や詐欺を実行することができます。

すべての作業を代行する「仕込まれた共犯者」

いったん起動すると、AgentForgerは偵察活動を行い、企業内部の見取り図を作成できます。例えば、エージェントはOutlook、Slack、Teams、Google Drive、SharePoint、カレンダーのデータをスキャンし、人物、役職、進行中のプロジェクト、社内の議論内容、あるいは全社的な定例会議などを特定します。これにより攻撃者は、活動中のチームやチャンネル、進行中のプロジェクト、著名なユーザーなどをもとに、社内で次にどこを標的にすべきかを見極める手がかりを得ることができます。

「これは本来、攻撃者が時間をかけてじっくり構築しなければならない類の内部情報です」とTakahashi氏は指摘します。しかし今回のシナリオでは、メールで送られた一通の指示だけで行動が起こされます。攻撃者の「仕込まれた共犯者」がすべての作業をこなしてくれるのです。

別のシナリオでは、エージェントは財務書類、取引契約書、請求書などを検索・特定することでデータを窃取することもできます。あるいは、パスワード、ワンタイムコード、アクセストークン、パスワード復旧リンク、APIキーなどを含むメッセージを探し出し、認証情報を盗み出すことも可能です。さらに、被害者になりすましてフィッシング詐欺を行うこともでき、例えば本物そっくりのTeamsメッセージを送りつけ、偽のMicrosoftログインページで認証情報を確認するよう指示することもできます。

いずれのケースでも、収集された情報は整理・分析された上で攻撃者のもとへ送り返されます。

「AgentForgerが示しているのは、単一の脆弱性をはるかに超えた、もっと大きな問題です」とBargury氏は語ります。「これは一つのバグの話というより、AIが日常的な業務運営の一部となるにつれてセキュリティモデルがどう変化するかを理解することの話なのです」

取り残される恐怖(FOMO)が露呈させるセキュリティの穴

これは必ずしも「信頼」の問題ではなく、むしろスピードを上げて適応していく必要性の問題だと、Bargury氏は強調します。AIエージェントは従業員の業務自動化を後押しし、意思決定を迅速化し、より多くの成果を上げる助けとなっています。しかし企業側には、素早く動かなければ後れを取ってしまうという恐怖があります。

「課題は、私たちが企業内に根本的に新しい種類のテクノロジーを導入しつつあるという点にあります」とBargury氏は述べています。「次のAI機能を統合しようというプレッシャーが、それを安全に展開するために必要なセキュリティ管理の整備速度を上回ってしまっているのです」

とはいえ、答えは導入のスピードを落とすことではないと同氏は強調します。ビジネス上の価値があまりに大きいためです。むしろ最初の一歩は、AIエージェントがどこに存在し、誰が作成したのか、何と連携しているのか、そして何を許可されているのかを把握することです。そして自律型エージェントに関しては、企業はそれらを起動させるプロセス、すなわちスケジュール、受信メール、あるいはその他の自動化されたイベントに注意を払う必要があります。

「そうしたトリガーは、エージェント自体と同じくらい慎重に管理されるべきです」とBargury氏は述べています。

影響の大きいアクションについては、適切な場面で承認を必須とすべきであり、セキュリティチームは何かおかしいと感じた際に、エージェントやそのトリガーを速やかに無効化できる体制を整えておくべきだと同氏は述べています。

より広い視点で見れば、AIエージェントは新たなセキュリティモデルの必要性をもたらしていると同氏は指摘します。もはや問うべきは「このエージェントには権限があるか」だけではありません。「これは私たちが意図した挙動なのか」という問いも同様に重要になってくるのです。

「この両方の問いに答えられる組織こそが、AIを安全に導入する上で最も強い立場に立てるでしょう」とBargury氏は語りました。