Claude Code、OpenAI Codex、Google Gemini CLIといった主要なAIコーディングエージェント、さらにClaude in ChromeやGoogle Antigravity、Nanobrowserといったブラウザ操作エージェントに、ソウル大学とイリノイ大学アーバナ・シャンペーン校の研究チームが共通の弱点を発見した。論文「Agent Data Injection Attacks are Realistic Threats to AI Agents」で報告された新しい攻撃手法「エージェント・データ・インジェクション(ADI)」は、エージェントに読み込ませる外部データそのものを武器に変える。
「指示への割り込み」ではなく「データへのなりすまし」
これまでAIエージェントのセキュリティ研究は、主に「間接プロンプトインジェクション(IPI)」を対象にしてきた。攻撃者が仕込んだ文章を、エージェントが「指示」だと誤認識してしまうタイプの攻撃だ。モデルの堅牢化、入力ガードレール、Dual-LLM構成など、多くの対策が「指示」と「データ」を分離することで防御してきた。
今回のADIは、その防御の隙間を突く。攻撃者が細工したデータを、エージェントが「指示」としてではなく「信頼できるはずのデータ」だと誤認させる。たとえばファイルの出所を示すメタデータ、Webページ上のUI要素を識別するID、ツール呼び出しの実行結果のフォーマットなどになりすまし、エージェントに意図しない操作を実行させる。指示と分離すること自体は正しく機能していても、そのデータの真正性を検証していないために突破されてしまう。
実証された被害:任意クリックからリモートコード実行まで
論文では、Claude in Chrome、Google Antigravity、Nanobrowserに対する「任意クリック攻撃」(意図しない要素を勝手にクリックさせる)、そしてClaude Code、Codex、Gemini CLIに対する「リモートコード実行」や「サプライチェーン攻撃」を実際に成立させたと報告している。特定ベンダー1社の実装ミスではなく、業界の主要なエージェント設計に共通して存在する構造的な欠陥だという点が重い。研究チームは、信頼データと非信頼データを分離するという基本原則を、現行のAIエージェントがまだ実装できていないと結論づけている。
実務への影響
日本国内でもClaude Code、Codex、Gemini CLIといった自律型コーディングエージェントの導入が急速に進んでいる。今回の研究が突きつけるのは、「エージェントが読み込む外部データ(Webページ、リポジトリのREADME、ツールの実行結果など)はすべて汚染されている可能性がある」という前提に立つ必要があるということだ。実務上のポイントは3つ。
- エージェントに与えるツール・MCP接続・実行権限を必要最小限に絞る。過剰な権限は攻撃の踏み台になる
- 外部リポジトリやWebコンテンツを扱わせるタスクでは、コード実行やパッケージインストールを自動承認しない設定にする
- 各ベンダーからの本件に関するパッチ・緩和策のアナウンスを継続的に確認する
筆者の見解
今回の論文が重いのは、Claude Code、Codex、Gemini CLIという主要な陣営がほぼ同列に脆弱性を指摘されている点だ。特定ベンダーの実装が甘かったという話ではなく、「信頼データと非信頼データを分離する」という、伝統的なシステムセキュリティの世界ではSQLインジェクション対策などを通じて何十年も前に確立されてきた原則を、AIエージェントの世界がまだ実装できていないという構造的な指摘だと受け止めている。
筆者はかねてAIエージェントについて、人間の承認待ちを減らして自律的に動く設計こそが本質的な価値を生むという立場を取ってきた。だが自律性を上げるほど、今回のようにエージェントが騙されて実行してしまう操作の被害も大きくなる。ここで大事なのは「危ないから使うな」という禁止に走ることではない。ユーザーが安心して自律的に使い倒せるように、ベンダー側が信頼境界をきちんと設計し直すことだ。こうした研究が公開され、業界全体で対策が進むのは歓迎したい動きで、各社の次のアップデートで具体的にどう手当てされるかを注視していきたい。
出典: この記事は Agent Data Injection Attacks are Realistic Threats to AI Agents の内容をもとに、筆者の見解を加えて独自に執筆したものです。