新たなタイプのプロンプトインジェクション攻撃は、AIアシスタントにブラウザ、コードツール、および個人データへのアクセスを許可することに、なぜ特別な注意が必要なのかを示している。
AI研究者らは、「暗号コンテキスト注入」と呼ばれる攻撃手法について説明している。これは、暗号化されたデータの中に悪意のある命令を隠蔽する攻撃である。AIは、自身のコード実行ツールを使ってそのデータを復号化するように誘導される。その結果、AIは復号化されたテキストを信頼できる内部情報であるかのように扱ってしまう可能性がある。
プロンプトインジェクションは、AIアシスタントが読み取るための文書の中に偽の指示を仕込むようなものです。アシスタントはユーザーの要求だけに従うのではなく、ウェブページ、メール、またはファイルに隠された攻撃者の指示に従うように仕向けられる可能性があります。
数ヶ月前にお伝えしたように、専門家は、プロンプトインジェクション攻撃は決して解決されないかもしれない問題だと警告しています。プロンプトインジェクションが有効なのは、AIモデルが正当な指示と攻撃者の指示を確実に区別できないため、誤った指示に従ってしまうことがあるからです。
このリスクを軽減するために、AIプロバイダーはモデルにガードレール（AIシステムが意図的か否かを問わず、行うべきでないことをするのを防ぐための保護機能）を組み込んでいる。
研究者たちが発見したのは、悪意のある命令を暗号化することで、一部のAIの安全対策から隠蔽できるということだった。そして、AI自体を騙して、その命令を暗号化ツールを使って復号化させることが可能だった。
指示が読み取れるようになった時点で、それらは既に最初のセキュリティチェックを通過していた。そのため、AIはそれらを正当な指示と誤認し、それに従ってしまうことができた。
それは、セキュリティシステムが理解できない言語で悪意のある指示を隠すようなものだ。AIはセキュリティチェックを通過した後で初めてそれらを翻訳し、その後、その指示に従う可能性がある。
研究者らは、2つのAIエージェントに対してこの手法をテストしたところ、異なる結果が得られた。Grokでは、この攻撃によってユーザーの名前、おおよその位置情報、購読プラン、会話履歴などの情報が盗まれる可能性があると研究者らは述べている。Geminiでは、この手法を用いてセキュリティ制御を回避し、通常であればモデルが生成しないようなコンテンツを生成した。
「Grokでは、ごく普通の『このページを要約する』機能が、クリックや警告なしにユーザーのチャットデータを盗み出します。Geminiでは、通常モデルが拒否するコンテンツを生成します。どちらもライブ配信システムです。」
研究者らは詳細な情報を提供しなかった。なぜなら、2026年6月にGrokの脆弱性がxAIに報告された後、xAIは何も対策を講じていなかったからである。一方、Geminiは改善策を講じたものの、脆弱性を完全に解消するには至っていない。
安全に過ごすには
AIアシスタントは役立つかもしれないが、機密データや強力なツールを安易に任せるべきではない。
- 見慣れないウェブページ、文書、共有リンクのAIによる要約は、特にアシスタントがコードを閲覧したり実行したりできる場合は、慎重に扱う必要があります。
- パスワード、復旧コード、APIキー、金融情報、機密性の高い健康情報や仕事情報などをAIチャットに貼り付けないでください。ただし、それらの情報がどのように取り扱われるかを理解している場合は除きます。
- AIアシスタントに接続されているツールと権限を確認してください。不要なアクセス権限、特にメール、クラウドストレージ、ソースコードリポジトリ、外部連携機能へのアクセス権限を削除してください。
- AIツールが、一見ごく普通の作業の一環として、復号化、デコード、スクリプトの実行、新しいリンクの開設、データのアップロードなどを要求してきた場合は、疑ってかかるべきです。
- ブラウザやAIアプリケーションは常に最新の状態に保ち、ブラウジング、自律エージェント、コード実行などの機能を使用する際は、ベンダーが提供するセキュリティ勧告を確認してください。
- 最新のリアルタイムマルウェア対策ソリューションを使用して、悪意のあるダウンロードや不審な接続を検出し、ブロックしてください。
何かおかしいと感じたら？クリックする前に確認してください。
Malwarebytes Guardを使えば、不審なリンク、テキスト、スクリーンショットを即座に分析できます。
すべてのデバイス向けの「Malwarebytes Premium 」 iOS Android向け「Malwarebytes でご利用いただけます。
