AIアシスタントにブラウザやコード実行ツール、個人データへのアクセス権を与えることが、なぜ余計な注意を要するのか——それを示す新種のプロンプトインジェクション攻撃が明らかになりました。
AI研究者らは「Cryptographic Context Injection（暗号学的コンテキスト注入）」と呼ばれる攻撃を明らかにしています。これは、暗号化されたデータの中に悪意ある指示を隠す手法です。AIはそのデータを自らのコード実行ツールを使って復号するよう誘導され、結果として得られたテキストを、あたかも信頼できる内部情報であるかのように扱ってしまう可能性があります。
プロンプトインジェクションは、いわばAIアシスタントに読ませる文書の中に偽の指示を紛れ込ませるようなものです。アシスタントはユーザーからの依頼のみに従うのではなく、ウェブページやメール、ファイルの中に隠された攻撃者の指示に従うよう騙されてしまうことがあります。
数か月前に報じたとおり、専門家はプロンプトインジェクション攻撃が永久に解決されないかもしれない問題だと警告してきました。AIモデルは正規の指示と攻撃者による指示を確実に区別できないため、プロンプトインジェクションが成立してしまいます。その結果、AIが誤った指示に従ってしまうことがあるのです。
このリスクを軽減するため、AIプロバイダーは各モデルに「ガードレール」を設けています。これは、AIシステムが意図的であれ非意図的であれ、してはならないことを行わないようにするための保護機構です。
今回研究者らが発見したのは、悪意ある指示を暗号化することで、一部のAIガードレールから隠せてしまうという事実です。そして、AI自身がそのコーディングツールを使ってそれらの指示を復号するよう仕向けられる可能性があります。
指示が読み取り可能な状態になる頃には、それはすでに最初のセキュリティチェックをすり抜けた後です。AIはその指示を正規のものと誤認し、従ってしまう可能性があります。
これは、セキュリティシステムが理解できない言語で悪意ある指示を隠すようなものだと言えます。AIはセキュリティチェックを通過した後になって初めてそれを「翻訳」し、その内容に従ってしまう場合があるのです。
研究者らはこの手法を2つのAIエージェントに対してテストし、それぞれ異なる結果を得ました。
「Grokでは、ごく普通の『このページを要約して』という指示だけで、クリックも警告もなくユーザーのチャットデータが盗まれてしまいます。Geminiでは、通常であれば拒否するはずのコンテンツを生成してしまいます。どちらも実際に稼働中の本番システムです」
研究者らは詳細を全て公開してはいません。これは、Grokの脆弱性が2026年6月にxAIへ報告されて以降、xAI側が対策を取っていないためです。一方Geminiについては改善が加えられているものの、この抜け穴は依然として完全には塞がれていません。
安全を守るために
AIアシスタントは便利な存在かもしれませんが、機密データや強力なツールを無条件に信頼して任せるべきではありません。
- 見慣れないウェブページや文書、共有リンクについてAIが生成する要約は、特にそのアシスタントがブラウジングやコード実行を行える場合、慎重に扱うこと。
- 情報がどのように扱われるかを理解していない限り、パスワードやリカバリーコード、APIキー、金融情報、機微な健康・業務情報をAIチャットに貼り付けないこと。
- AIアシスタントに接続されているツールと権限を確認すること。特にメール、クラウドストレージ、ソースコードリポジトリ、外部連携など、不要なアクセス権は削除すること。
- 一見普通に見えるタスクの一環として、AIツールが復号や デコード、スクリプトの実行、新しいリンクを開くこと、データのアップロードを求めてきた場合は疑ってかかること。
- ブラウザやAIアプリケーションは常に最新の状態に保ち、ブラウジングや自律型エージェント、コード実行といった機能を利用する際にはベンダーのセキュリティ勧告を確認すること。
- 悪意あるダウンロードや不審な接続を検知・ブロックするため、常に最新の状態を保ったリアルタイム型のアンチマルウェアソリューションを利用すること。
