あらゆる兆候は、御社のAIアシスタントが本来通りに機能していることを示しています。チャットでの問い合わせに答え、ファイルを探し出し、日々の業務を妨げかねない無数のありふれた質問に応答している――それが表向きの姿です。しかし、もし誰かがそのAIアシスタントの「肩越しに」画面を覗き込み、自分自身のプロンプトを送り込み、AIが読み取る情報を同じように読み取り、さらには正規の権限を悪用して権限を拡大していたとしたらどうでしょうか。それをいったいどうやって見抜けばよいのでしょうか。
Rubrik Zero Labsのセキュリティ研究者らは最近、主要な企業向けAIアシスタントを使ってこの手口を実証しました。彼らは「ChatMate」と名付けた実際に動作するエクスプロイトチェーンを構築し、たった1つの悪意あるドキュメントを、検知がほぼ不可能でありながら比較的容易に実行できる攻撃へと変貌させました。マルウェアの警告も、不正行為を示す明確な証拠もありません。あるのはただ、たまたま別の誰かを手助けしているAIアシスタントの姿だけです。研究チームはこの成果をBlack Hat USA 2026で初めて発表し、リモートプロンプト実行(RPE)と呼ばれる新興の攻撃クラスを用いることで、攻撃者がこの双方向の「プロンプトシェル」をリアルタイムでどのように悪用しうるかを実演する予定です。これは、あらゆるサイバーセキュリティ責任者が注視すべき動向と言えるでしょう。
RPEの仕組み
現代のAIアシスタントは、単にプロンプトに応答するだけの存在ではありません。スプレッドシートの作成やドキュメントの解析、計算の実行を可能にするコードインタープリター上で動作するよう構築されています。Rubrik Zero Labsの研究は、白地に白文字で隠された不可視の指示を仕込んだ「罠付き」のWordドキュメントが、従業員がごく普通の作業のためにアップロードした瞬間、広く使われているAIアシスタントを騙して攻撃者提供のコードを実行させられることを実証しました。
この種の攻撃として知られる間接プロンプトインジェクションは、セキュリティコミュニティ内でも十分に文書化されています。ChatMateの研究が新規性を持つのは、段階的なエクスプロイトを連鎖させる手法にあります。この連鎖によって最終的に攻撃者は、単一の侵害が他システムへ波及するのを本来防ぐはずの「サンドボックス」からの脱出を果たすのです。
ChatMateのケースでこれが達成されると、コードはアシスタントの安全対策をすり抜けるように働きかけ、サンドボックス内で権限を昇格させ、周辺のクラウドインフラに存在する無関係な脆弱性を悪用し、それを足がかりにサンドボックスとは異なりインターネットアクセスを持つ基盤サーバーへと脱出しました。この最後のステップにより攻撃者への双方向チャネルが開かれ、脅威アクターは被害者の稼働中のアシスタントセッションにプロンプトを送り込み、その回答を読み取ることが可能になりました。しかもその間ずっと、被害者自身の認証情報とデータアクセス権限が使われていたのです。
このケースでは、脆弱性は責任ある形で報告され、公表前に修正が行われました。しかし、次のケースでも同様にキーボードの向こう側に倫理的なハッカーがいる保証は、どこにもありません。
ChatMateが示すより大きな教訓
このエクスプロイトの重要性は、特定のバグそのものにあるのではありません。バグはパッチを当てれば済む話です。より重要なのは、その背後にある攻撃対象領域の広さです。日常的な生産性向上ツールに組み込まれたAIアシスタントは、いまやフォーチュン500に名を連ねる大企業の大半で利用されており、平日には数億人もの人々がそれを開いています。それらのセッションはそれぞれ、コードインタープリターを備えた共有クラウドインフラ上で動作しており、理論上はいずれも同じエクスプロイトチェーンの標的になりえます。多くの従業員が何の疑いもなく開いてしまうドキュメント、メール、その他の共有ファイルを武器化することによって、です。
関連する事例を一つ考えてみましょう。2026年7月、世界最大級のAIモデル・データセットの公開リポジトリであるHugging Faceは、自律型のAIエージェントがデータ処理パイプライン内の2つのコード実行脆弱性を悪用し、サーバーレベルの権限に昇格して社内の認証情報を窃取した後に封じ込められたことを確認したと発表しました。企業も製品も攻撃経路もそれぞれ異なりますが、共通していたのは、私たちのAIシステムを支える基盤となるコードベースが標的にされたという点です。
こうしたエクスプロイトチェーンが体系的に発見され、企業データへの実際のアクセス権を持つ稼働中のアシスタントに対して実行されるようになれば、被害の範囲はそのアシスタントがアクセスできるあらゆるもの――メール、ファイル、カレンダー、チャット履歴、さらにはそのモデルが学習に使った可能性のある保護対象の知的財産にまで及びかねません。直接的なデータ漏えいに加え、企業は深刻な侵害につきものの通常のコスト、すなわち発見、修復、ダウンタイム、レピュテーション毀損、コンプライアンス違反の可能性といった負担にも直面することになります。IBMの最新調査によれば、こうしたコストなどを合計すると、1件の侵害あたり平均で444万ドルに上ると推計されています。
もう一つ、規模は小さいながらも見過ごせない重要なコストがあります。企業がAIアシスタントを業務に組み込むために巨額の投資を行う中で、その安全性を確保できるという信頼が失われれば、事後対応にかかる初期費用をはるかに上回る生産性の損失を企業にもたらしかねません。
では、AIの導入をここで断念すべき時が来たのでしょうか。決してそうではありません。しかし、今回の研究過程で発見されたこの概念実証――コードを実行するアシスタント、サンドボックスからの脱出、共有されたクラウドの内部配線、そしてユーザー間に根付く暗黙の信頼――は、RPEをベンダーやセキュリティ専門家が注視すべき新興の攻撃クラスたらしめるに十分な内容です。
今回、御社のアシスタントの肩越しに覗き込んでいた見知らぬ者は特定され、排除されました。しかし、もし明日どこか別の場所で同じことが繰り返されたとしたら、御社はそれに気づけるでしょうか。