AIエージェントの信頼データを偽装する新攻撃「ADI」が判明、誤購入や不正コマンド実行の恐れ
要点
- ソウル大学などの研究チームが、AIエージェントが判断基準とするデータを偽装する新攻撃「エージェント・データ・インジェクション（ADI）」を発表した。
- AIモデルがデータの区切り文字（デリミタ）を厳密な規則ではなく推測で解釈する性質（確率的デリミタインジェクション）を悪用する。
- Web上で意図しない製品購入を実行させたり、開発者のローカル環境で不正なコマンドを実行させたりする攻撃が実証された。
- GPT-5.2やClaude Opus 4.5、Gemini 3 Proなど、検証されたすべての最新AIモデルで本脆弱性が確認された。
- 従来のプロンプトインジェクション対策では検知しにくく、ユーザーの目視確認による回避も困難であるという。
リード文
ソウル大学、イリノイ大学アーバナ・シャンペーン校、Largosoftの研究者らによる共同チームは2026年7月6日、AIエージェントの事実認識を歪める新しい攻撃手法「エージェント・データ・インジェクション（ADI）」に関する論文を発表した。この攻撃は、AIエージェントが動作中に処理する信頼性の高いデータを偽装することで、ユーザーに無断で製品を購入させたり、開発者のマシン上で不正なコマンドを実行させたりする危険性があるという。
本文
「指示」ではなく「データ」の隙を突くADIの仕組み
AIエージェント（ユーザーに代わって処理を実行する自律型AI）が読み取る内容は、大きく2つに分類される。1つはユーザーからの「指示（命令）」、もう1つはWebページやメールなどの外部「データ（情報）」である。従来の「プロンプトインジェクション（指示に悪意ある命令を紛れ込ませて処理を乗っ取る攻撃）」は指示の乗っ取りを狙うものであり、近年の防御策でブロックされやすくなっている。
しかし、今回発表されたADIは、AIが信頼しているデータの内部構造を標的にする。AIはデータの項目ごとの境界を識別するために引用符や改行といった区切り文字（デリミタ）を用いるが、大規模言語モデル（LLM）はこれらを厳密な規則ではなく文脈から「推測」して解釈する。
この性質を突き、入力データ内にエスケープされた引用符（\"）やドル記号（$）などを仕込む手法を「確率的デリミタインジェクション」と呼ぶ。AIはこれらを本物の区切り文字と誤認し、攻撃者が仕込んだ偽の送信者名やボタンIDを、信頼できる正規のデータ構造の一部として認識してしまう。
実証された3つの具体的な攻撃シナリオ
研究チームは、実在する主要なAIツールを用いて以下の3つの攻撃シナリオを実証した。
-
Web閲覧エージェントへの攻撃
「Claude in Chrome」「Google's Antigravity」「Nanobrowser」などのWeb閲覧エージェントに対し、レビュー欄に本物のボタンIDを再利用した偽情報を埋め込む。エージェントが「詳細を読む」ボタンをクリックしようとした際に、IDが偽装された「今すぐ購入」ボタンを誤クリックさせられ、意図しない注文が確定してしまう。要素へのID割り当ては順序で行われるため、攻撃者は事前にIDを予測可能である。 -
コーディングアシスタントへの攻撃
「Claude Code」「OpenAI's Codex」「Google's Gemini CLI」などの開発支援向けAIに対し、GitHubコメント欄の送信者名を偽装して管理者（メンテナー）に見せかける。AIが偽のコメントを本物と信じて処理した結果、開発者が日常の手順として承認すると、ローカル環境で不正コマンドが実行される。 -
悪意あるプルリクエスト（PR）による攻撃
実際には実行していないテスト結果の履歴を偽装し、安全チェックを「合格」として処理履歴に表示させる。AIエージェントはコードを安全と誤認してマージ（コードの統合）を提案し、開発者が承認すると悪意あるコードがプロジェクト本体に組み込まれる。
主要モデルすべてに脆弱性が存在
実験では、OpenAIの「GPT-5.2」「GPT-5-mini」、Anthropic of「Claude Opus 4.5」「Claude Sonnet 4.5」、Googleの「Gemini 3 Pro」「Gemini 3 Flash」の計6モデルが検証され、そのすべてで脆弱性が確認された。構造化データへの攻撃成功率は31%〜43%に達し、Webページデータでは3分の1から最大100%の確率で攻撃が成功した。
多くのAIエージェントは実行前にユーザーに承認を求めるが、確認ダイアログには操作の目的が表示されず、AIの思考プロセスのログも偽データに基づいて一見合理的に作成されるため、ユーザーが目視で偽の要求を見破ることは極めて困難である。また、既存のプロンプトインジェクション対策を適用しても、従来の命令埋め込み攻撃はほぼ完全に防げた一方で、ADI攻撃は最大50%の確率で成功したという。