新たに公開された報告書により、米国の大手小売業者(社名非公開)のAIショッピングアシスタントに存在するセキュリティ上の欠陥が、公開されているモバイルアプリからリモートコード実行へと連鎖しうることが明らかになりました。バックエンドインフラが標的となります。
今回の攻撃は、アシスタントをショッピング関連タスクに限定するために設けられた複数の防御策を回避していたとされています。Rein Security共同創業者兼CTOのNetanel Rubin氏と研究者のDan Avraham氏は、「Bye Bye AI」と題した研究をBlack Hatで発表しました。
両氏の研究は、入力検証・実行時制御・アプリケーション層のセキュリティが一貫して適用されていない場合、AIアシスタントが企業システムへの侵入経路になり得ることを示しています。
両氏はまず、Kroger、Instacart、Amazon Alexa、Walmart Sparky、Albertsonsという5つの小売アシスタントのフィンガープリント収集から着手しました。
「アボカドは扱っていますか」という質問と、無関係なスペイン語の挨拶「¿Cómo estás?」という2つの問いだけで、基本的なキーワード検索、検索拡張生成(RAG)システム、そして意図分類ゲートウェイによって保護されたアシスタントとの違いを浮き彫りにするには十分でした。
今回の標的となった非公開の小売業者は、Google Vertex AI Searchを基盤とするモバイル専用のショッピングアシスタントでした。
PWNは、主要な4つの防御層を発見しました。SSL証明書ピンニング、ショッピング以外のプロンプトを遮断する意図分類器、範囲を限定したシステムプロンプト、そして構造化されたJSON出力制限です。
SSLピンニングにより、当初は研究者らがBurp Suiteを使ってアプリの暗号化トラフィックを傍受・改ざんすることができませんでした。
そこで研究者らはAndroidエミュレータ上でFridaによるインストゥルメンテーションを用い、証明書検証関数をフックすることで、アプリに傍受用プロキシの証明書を強制的に受け入れさせました。
リクエストの中身を確認できるようになると、研究者らは通常のチャットインターフェースからはアクセスできない隠しフィールドを発見しました。さらに、アプリケーションがセキュリティチェックを一貫性なく適用していることも突き止めました。
メインのチャット入力フィールドは意図分類ゲートウェイを経由する一方で、別の検索クエリフィールドは、大幅に緩いフィルタリングのままバックエンドへ転送されていました。
その結果、チャットインターフェース側では拒否されるはずのプロンプトも、商品検索を装って検索フィールド経由で送信できてしまうと報告されています。
研究者らはこの経路を利用して分類器を回避し、アクロスティック(頭字語)形式のプロンプトや語順を操作した手法など、間接的な変換を通じてアシスタントの隠されたシステムプロンプトを抽出しました。
漏洩した指示内容から、このアシスタントがPythonコードを生成・実行できることが判明しました。そこでRubin氏とAvraham氏は、この機能が実際に動作するものなのか、それとも単なるシミュレーションなのかを検証しました。
ゼロ除算を含むコードのプロンプトを送信したところ、PythonのZeroDivisionErrorが発生し、送信した入力がインタプリタによって実際に実行されていることが示唆されました。
さらに時間差を利用した検証も実施しています。通常のリクエストではおよそ5.5秒かかったのに対し、10秒および20秒のスリープを指示するプロンプトでは、それぞれ約11.4秒、26.8秒かかったと報告されています。
PWNによると、コンテナが実行された後、そのコンテナ内の環境変数にアクセスできたとしています。また、アプリの通信内容の中に制限のかけられていないGoogle Maps APIキーが露出していることも確認しており、不正利用や予期しない課金につながる恐れがあるとしています。
Reinは2026年3月にこの発見内容を当該小売業者に開示しました。PWNによると、同社はコード実行機能を意図した仕様であると分類したとのことです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/ai-shopping-assistant-flaws/
