コラム

Column

導入事例

Case Study

サイバーニュース

Cyber News

海外のサイバーセキュリティ関連のニュースを日本語でご紹介しています。

お知らせ

News

ホーム » サイバーニュース » WebレビューやGitHubコメントからAIを誤操作　新たな「ADI攻撃」の仕組みを解説

WebレビューやGitHubコメントからAIを誤操作　新たな「ADI攻撃」の仕組みを解説

The Hacker Newsは2026年7月16日、AIエージェントが外部データの構造を誤って解釈し、利用者が意図しない操作を実行する「Agent Data Injection（ADI）」と呼ばれる攻撃手法を報じました。商品レビューやGitHubコメントなどへ細工したデータを埋め込むことで、AIに誤ったボタンをクリックさせたり、攻撃者のコマンドを信頼できる提案として実行させたりできる可能性が示されています。

The Hacker News：New Agent Data Injection Attack Can Make AI Agents Misclick or Run Attacker Commands

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響を受ける可能性のあるシステム

Webページを読み取り、ボタンやリンクを自動操作するAIエージェント
商品レビュー、コメント、掲示板など、第三者が編集できるコンテンツを処理するWebエージェント
Claude in Chrome
GoogleのAntigravityに搭載されたWebブラウジング機能
Nanobrowser
GitHubのIssue、コメント、Pull Requestを読み取るAIコーディングエージェント
Claude Code
OpenAI Codex
Gemini CLI
メールの本文と送信者情報をまとめてAIへ渡すアシスタント
SlackやGitHubなどとMCPを通じて接続されたAIエージェント
JSON、HTML、Markdown、XMLなどの構造化データをLLMへ渡すエージェントシステム

研究で確認されたのは、特定のOSや一般的なソフトウェア脆弱性ではなく、AIエージェントが信頼できるメタデータと第三者が入力したデータを同じ文脈で処理する設計上の問題です。製品名だけで判断せず、外部コンテンツを読み取り、クリック、コマンド実行、ファイル操作などを行うすべてのエージェントを確認する必要があります。

推奨される対策

外部コンテンツを読み取ったAIエージェントへ、購入、送金、削除、マージなどの操作を自動実行させない
コマンドの実行前に、コマンドそのものだけでなく、情報の取得元と実行理由を人が確認する
GitHubコメントに記載されたコマンドを、投稿者の表示名だけで信頼しない
Pull Requestの確認では、AIが表示した要約だけでなく実際の差分を別画面で確認する
ページ要素やファイルへ付与する識別子に、予測可能な連番を使用しない
実行時に生成するランダムな識別子を、要素IDや重要フィールド名へ付加する
信頼できるメタデータと利用者が入力した本文を、別々のデータ構造や処理経路で管理する
外部データに由来する値へ出所情報を付け、エージェント内で追跡できるようにする
AIエージェントへ付与するファイル、シェル、クラウド、リポジトリの権限を必要最小限にする
重要操作はサンドボックスや隔離環境で実行し、ホスト環境へ直接影響させない
AIエージェントが参照した元データ、判断内容、ツール実行履歴を監査ログとして保存する
ADIの公開ベンチマークを使用し、自社エージェントのデータ解釈を検証する

※上記の対策は、報道・論文で示された検証結果（ランダムIDやデータ追跡など）に基づき、日本の企業・開発者向けに実務的な対応手順として独自に補足・整理したものです。（単に「実行前に確認画面を表示する」だけでは、エージェント自身が偽情報を正と認識して誤った理由を出力するため、根本的な対策にならない点にご注意ください。）

この記事に出てくる専門用語

Agent Data Injection（ADI）：攻撃者が入力した情報を、AIエージェントに信頼できるデータやメタデータとして誤認させる攻撃です。命令を直接埋め込むのではなく、送信者名、要素ID、ツール実行履歴などの事実をすり替えます。
間接プロンプトインジェクション：Webページ、メール、文書などに埋め込まれた内容をAIが読み取り、攻撃者の意図に沿った処理を行ってしまう攻撃の総称です。
Instruction Injection：外部データの中へ「以前の指示を無視する」といった命令を埋め込み、AIの行動を直接変更しようとする攻撃です。
Probabilistic Delimiter Injection：引用符、括弧、タグ、改行など、データの区切りに似た文字を入力し、LLMに本来存在しないデータ構造を認識させる手法です。日本語では「確率的デリミタ注入」などと表現できます。
デリミタ：JSONの引用符や波括弧、HTMLのタグなど、データの範囲や項目を区切る文字です。
メタデータ：本文そのものではなく、送信者、作成者、権限、ファイルID、ボタンIDなど、データの性質や出所を示す情報です。
要素ID：Webページ上のボタン、リンク、入力欄などをAIエージェントが識別するために付ける番号や文字列です。
Origin Injection：コメントやメッセージの投稿者情報を偽装し、攻撃者の入力を管理者や開発者による情報としてAIに認識させる攻撃です。
Tool Call Injection：AIエージェントが過去に実行したツールの命令や結果を偽装し、実際には行っていない安全確認を完了したように見せる攻撃です。
リモートコード実行：攻撃者が対象の端末上で任意のプログラムやコマンドを実行できる状態です。ADIでは、偽のGitHubコメントを信頼させることで成立する可能性が示されています。
サプライチェーン攻撃：ソフトウェアの開発、更新、配布経路へ不正なコードを混入させ、利用者や関連組織へ被害を広げる攻撃です。
MCP：Model Context Protocolの略称で、AIモデルとGitHub、Slack、メール、ファイルなどの外部ツールを接続するための仕組みです。

命令ではなく「事実」を偽装する新たな攻撃

従来のプロンプトインジェクションでは、攻撃者がWebページやメールなどへ「それまでの指示を無視して別の処理を行う」といった命令を埋め込みます。これに対し、Agent Data Injectionは、AIエージェントへ新しい命令を与えるのではなく、エージェントが判断材料として使用するデータを偽装します。

AIエージェントが処理する情報には、利用者や開発者が与えた指示と、作業中に外部から取得したデータがあります。外部データには、メール本文や商品レビューのように第三者が編集できる内容だけでなく、送信者名、コメントの投稿者、Web要素の識別番号、ツールの実行結果といったメタデータも含まれます。

研究チームが示したADIでは、攻撃者が編集できる本文へ、JSONやHTMLなどの区切りに似た文字列を挿入します。LLMがその文字列を新しいデータ項目として解釈すると、攻撃者は偽の送信者、偽のボタン、偽のツール実行結果などを、正規のシステムが生成した情報のように見せることができます。

一般的なプログラムは、JSONなどの構文を厳密な規則に従って解析します。しかし、LLMは文脈から確率的にデータ構造を推測するため、構文として正しくない引用符や括弧でも、区切りとして認識する場合があります。実験では、エスケープされた引用符、形状の異なる引用符、ドル記号などでも、LLMがデータ構造を誤認するケースが確認されています。

出典：arXiv「Agent Data Injection Attacks are Realistic Threats to AI Agents」

商品レビューから購入ボタンを誤クリック

Webエージェントに対する実証実験では、攻撃者がECサイトの商品レビューへ、偽のボタン情報と要素IDを埋め込みました。利用者がAIエージェントへ商品レビューの要約を依頼すると、エージェントはレビューの続きを読むために、偽の「続きを読む」ボタンをクリックしようとします。

しかし、攻撃者が埋め込んだIDは、実際のページ上にある「購入」ボタンのIDと一致するように作られていました。その結果、エージェントはレビューを表示するつもりで、利用者が指示していない購入操作を実行しました。研究では、Claude in Chrome、Antigravity、Nanobrowserで、この種の攻撃が成立することが確認されています。

これらのエージェントでは、ページ上の要素へ順番に増加する数値形式のIDが付けられていました。攻撃者はページ内の要素順を把握することで、標的となる購入ボタンなどのIDを事前に予測できたとされています。

Claude in Chromeでは、クリック前に利用者の確認を求める画面が表示されました。しかし、その画面にはAIがどの要素を、何の目的でクリックするのかが十分に示されていませんでした。AI自身も偽のデータを正しいと信じているため、利用者は通常の操作と攻撃による操作を区別しにくい状況になります。

一方、研究ではChatGPT Atlasに対する同じクリック攻撃は成功しませんでした。ChatGPT Atlasは実行時にランダムな文字列を含む要素IDを生成しており、攻撃者が対象ボタンのIDを事前に予測することが困難だったためと説明されています。ただし、この結果はすべてのADI攻撃を防げることを示すものではなく、要素IDを狙う特定の攻撃に対する検証結果です。

出典：arXiv「Agent Data Injection Attacks are Realistic Threats to AI Agents」

偽のGitHubコメントからコマンド実行へ

コーディングエージェントに対する攻撃では、GitHubのIssueコメントが使用されました。攻撃者は通常のコメント本文の中へ、プロジェクトのメンテナーが投稿したように見える偽のコメント構造を埋め込み、その中に問題の解決策を装ったコマンドを記載しました。

利用者がコーディングエージェントへ「メンテナーが提案した修正を適用する」よう依頼すると、エージェントは偽装された投稿者情報を信頼し、攻撃者のコマンドを正規の修正方法として提示しました。研究チームは、Claude Code、OpenAI Codex、Gemini CLIで、このOrigin Injectionによる攻撃を確認しています。

実証実験では、各コーディングエージェントがコマンド実行前に利用者の承認を求めました。しかし、確認画面には「メンテナーが推奨したパッケージをインストールする」といった、AIの誤った判断に基づく説明が表示されました。利用者から見ると、信頼できる開発者が提案した通常の修正手順に見えるため、確認機能が攻撃者の偽装を補強する可能性があります。

同様の手法はPull Requestのレビューにも応用できるとされています。攻撃者はPull Requestの説明へ、AIが実行したように見える偽の差分確認結果を挿入できます。エージェントが偽の安全な差分を確認し、実際の悪意あるコードを見ないままマージすると、開発プロジェクトへのサプライチェーン攻撃につながる可能性があります。

この問題に対しては、AIが示す投稿者名や差分要約だけを信頼せず、GitHub上の正式な権限情報や実際のコミット差分を別の経路で確認する必要があります。特に、外部のIssueやPull Requestを処理するエージェントへ、シェル実行やマージ権限を直接付与している環境では注意が必要です。

出典：arXiv「Agent Data Injection Attacks are Realistic Threats to AI Agents」

6種類のモデルと既存防御をすり抜ける結果

研究チームは、GPT-5.2、GPT-5-mini、Claude Opus 4.5、Claude Sonnet 4.5、Gemini 3 Pro、Gemini 3 Flashの6種類を対象として、構造化データの誤認に関する実験を行いました。これは2026年6月頃のモデルと環境を使用した検証結果であり、その後の更新状況を示すものではありません。

JSON形式のデータでは、攻撃成功率が31.3％から43.3％、Web DOM形式では33.3％から100％だったと報告されています。また、正規の構文と一致しない記号を使用した場合でも、JSONで35.8％から43.3％、Webデータで20％から53.3％の成功率が確認されています。

研究では、従来型の命令注入に対して有効な複数の防御も検証されました。入力ガードレール、出力ガードレール、計画と実行の分離、サンドボックス、複数LLMによる処理などを適用しても、ADIは最大50％の成功率を示しました。一方、従来型の命令注入は、同じ防御に対して0％から0.7％程度まで抑えられたとされています。

この差は、既存の防御の多くが、外部データに含まれる不審な「命令」を検出するよう設計されているためです。ADIでは、エージェントの作業目的や実行計画自体は変化しません。商品レビューの要約や修正の適用といった本来の作業を続けたまま、参照するボタンIDや投稿者情報だけがすり替えられます。

ただし、これらの成功率は研究チームが設計したベンチマーク上の結果です。すべての利用環境で同じ割合の攻撃が成功することを意味するものではなく、データ形式、モデル、システムプロンプト、ツール構成、権限設定などによって結果は変化する可能性があります。

出典：arXiv「Agent Data Injection Attacks are Realistic Threats to AI Agents」

防御の鍵は信頼済みデータと外部入力の分離

研究チームは対策として、データ項目名やページ要素IDへ実行時に生成したランダムな値を付ける方法を検証しました。攻撃者が正しい識別子を予測できない場合、偽のフィールドや要素を正規の情報として認識させることが難しくなります。

エージェントレベルの評価では、ランダム化によってADIの成功率が49.1％から28.7％へ低下し、通常タスクの完了率は83.3％に維持されました。ただし、リスト全体へ偽の項目を追加するような攻撃など、特定のフィールド名を予測する必要がないケースには十分な効果がありませんでした。

信頼できないデータの出所を追跡し、権限ポリシーと組み合わせる厳格なデータフロー制御では、実験上の攻撃成功率を0％に抑えられました。一方で、通常タスクの完了率は36.5％まで低下しており、安全性と利便性の両立が課題として残っています。

また、外部入力から引用符や括弧などを広範囲に除去する方法も成功率を下げましたが、URLやファイルパスなどの正規データまで破壊し、AIエージェントの実用性を低下させる可能性があります。特定の文字列だけを禁止する単純な入力フィルターでは、形状の異なる記号を使用した攻撃へ対応しにくいと考えられます。

実運用では、ランダムな識別子、データの出所管理、最小権限、サンドボックス、操作内容を明示した承認画面、監査ログなどを組み合わせる必要があります。確認画面には「操作を許可しますか」だけでなく、クリックする具体的な要素、実行するコマンド、参照した情報の投稿者、対象ファイルやリポジトリを表示することが重要です。

出典：arXiv「Agent Data Injection Attacks are Realistic Threats to AI Agents」

現時点では実証実験、権限を持つAIの運用には注意

研究論文で示された攻撃は、管理された環境で実施された概念実証です。2026年7月の論文公開時点では、Agent Data Injectionが実際のサイバー攻撃で使用されたことを示す公表情報はありません。研究チームは、論文の提出前にAnthropic、OpenAI、Google、Nanobrowserへ問題を報告し、OpenAI、Google、Anthropicから報告を受領した旨の回答を得たとしています。

ADIが成立するには、AIエージェントが攻撃者の編集できるコンテンツを処理することと、攻撃者がエージェント内部で使用されるデータ形式を把握することが必要です。オープンソースのエージェントではコードから形式を確認できる可能性があり、ローカルアプリケーションでは出力の観察や解析によって推測される場合があります。

研究では、サーバー側で生成される非公開のデータ形式についても、複数回の対話によってモデルから形式を引き出せたと報告されています。ただし、クラウドサービスの形式を回収するには追加の条件が必要であり、すべての環境で容易に実行できるとは限りません。

日本企業が優先して確認すべきなのは、AIエージェントがどの外部データを読み、どの権限で何を実行できるかです。第三者が投稿できるGitHub Issueを読むエージェントへ、本番端末上のコマンド実行権限を与える構成や、外部のWebページを読むエージェントへ購入・削除権限を与える構成は、特に慎重に検討する必要があります。

AIエージェントの安全性は、モデル単体の性能だけでは決まりません。入力データの出所、識別子の生成方法、ツール権限、承認画面、監査ログ、サンドボックスなど、システム全体の設計によって被害の範囲が大きく変化します。外部データを扱うAIには、信頼済み情報と第三者入力を明確に分離する設計が求められます。

出典：arXiv「Agent Data Injection Attacks are Realistic Threats to AI Agents」

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）