AIアシスタントは、どこから見ても正常に動作しているように見えます。チャットでの問い合わせに答え、ファイルを探し、日々の業務の流れを妨げかねない無数の細かな依頼にも応じています。しかし、もし何者かがその「肩越し」にのぞき込み、独自のプロンプトを送り込み、AIが読む内容を読み取り、さらには正規の権限を悪用してアクセス範囲を広げていたらどうでしょうか。それに気づく手段はあるのでしょうか。
Rubrik Zero Labsのセキュリティ研究者らは最近、主流の企業向けAIアシスタントを使って、この攻撃が実行可能であることを実証しました。研究者らは「ChatMate」と名付けた攻撃チェーンを構築しています。細工した文書1つを、検知がほぼ不可能で、しかも比較的容易に実行できる攻撃へと変える手法です。マルウェアの警告も、不正の明白な痕跡もありません。ただ、AIアシスタントがたまたま別の誰かの手助けをしているだけです。研究者らはこの成果を、Black Hat USA 2026で初めて発表します。あわせて、攻撃者が「リモートプロンプト実行（RPE）」と呼ばれる新たな攻撃クラスを使い、この双方向の「プロンプトシェル」をリアルタイムで悪用する様子も披露する予定です。RPEは、あらゆるサイバーセキュリティ責任者が注視すべき脅威です。
RPEの仕組み
現代のAIアシスタントは、プロンプトに応答するだけではありません。コードインタープリターを基盤に動作するよう作られており、表計算の作成、文書の解析、計算処理も行えます。Rubrik Zero Labsの研究では、白地に白文字で隠した見えない指示を仕込んだ、罠入りのWord文書を使いました。従業員が通常の作業のためにこの文書をアップロードした瞬間、有名なAIアシスタントを説得し、攻撃者が用意したコードを実行させられることが実証されています。
この種の攻撃は間接プロンプトインジェクションと呼ばれ、セキュリティ業界ではすでによく知られています。ChatMateの新しさは、段階的なエクスプロイトを連鎖させ、最終的に「サンドボックス」からの脱出を可能にした点にあります。サンドボックスは本来、1つの侵害が他のシステムへ波及するのを防ぐ仕組みです。
ChatMateでは、サンドボックスからの脱出に成功した後、コードがアシスタントの安全性チェックを言葉巧みに回避しました。続いてサンドボックス内で権限を昇格させ、周辺のクラウド基盤にある無関係の欠陥を突いて、基盤のサーバーへ脱出しています。サンドボックスと違い、このサーバーはインターネットに接続できます。この最後のステップで、攻撃者へ戻る双方向のチャネルが開きました。攻撃者は被害者が使用中のアシスタントのセッションにプロンプトを送り込み、その回答を読み取れます。その間ずっと、被害者本人の認証情報とデータアクセス権が使われ続けます。
今回のケースでは、この攻撃チェーンは責任ある形で報告され、公表前に修正されました。しかし、次の事例でキーボードの前に座っているのが倫理的なハッカーである保証はどこにもありません。
ChatMateが示す大きな教訓
このエクスプロイトの影響は、特定のバグにとどまりません。バグはパッチで修正できます。より重要なのは、その下に広がる攻撃対象領域の大きさです。日常の生産性ツールに組み込まれたAIアシスタントは、いまやFortune 500の大企業の大半で使われています。典型的な平日には、数億人がアシスタントを開いています。こうしたセッションはいずれも、コードインタープリターを備えた共有クラウド基盤の上で動いています。理論上は、どのセッションも同じ攻撃チェーンの標的になり得ます。手口は、文書やメールなどの共有ファイルを武器化することです。ほとんどの従業員は、そうしたファイルを開くことに何のためらいも感じません。
関連する事例もあります。2026年7月、世界最大級のAIモデル・データセットの公開リポジトリであるHugging Faceは、自律型AIエージェントがデータ処理パイプラインにある2件のコード実行の欠陥を悪用したことを認めました。このエージェントはサーバーレベルのアクセス権まで昇格し、封じ込められるまでに内部の認証情報を収集していました。企業も製品も攻撃経路も異なります。しかし共通しているのは、AIシステムを支える基盤のコードが標的にされたという点です。
こうした攻撃チェーンが体系的に発見され、企業データへ実際にアクセスできる稼働中のアシスタントに対して実行された場合、被害はアシスタントが到達できるあらゆる情報に及ぶ可能性があります。メール、ファイル、カレンダー、チャット履歴のほか、モデルの学習に使われた保護対象の知的財産も含まれ得ます。データの直接的な流出に加え、企業は深刻な侵入被害に伴う通常のコストも負うことになります。原因調査、復旧、システム停止、評判の毀損、コンプライアンス違反の可能性などです。IBMの最新の調査によると、これらのコストなどを合計すると、1件の情報漏えいあたり平均444万ドルに達すると推計されています。
もう1つ、見えにくいものの大きなコストがあります。企業は数百万ドルを投じてAIアシスタントを業務に組み込んでいます。そのセキュリティを確保できるという信頼が失われれば、生産性の低下による損失が、復旧作業にかかる当初の費用をしのぐ可能性があります。
では、AIの導入をやめるべき時が来たのでしょうか。決してそうではありません。ただ、今回の研究で明らかになった概念実証は、コードを実行するアシスタント、サンドボックスからの脱出、共有クラウド基盤、そしてユーザーが暗黙のうちに信頼しがちな傾向といった要素を組み合わせたものです。これによりRPEは、ベンダーとセキュリティ専門家が監視すべき新たな攻撃クラスとなりました。
アシスタントの肩越しにのぞいていた見知らぬ者は、今回は特定され、排除されました。しかし同じことが明日、別の場所で再び起きたとき、あなたの組織は気づけるでしょうか。
