ShadowLeak：初のサービスサイド漏洩型、ゼロクリック間接プロンプト注入脆弱性

---

主なポイント：

• ShadowLeakは、ChatGPTにおいて初めて確認された、サービスサイドのリーク型ゼロクリック間接プロンプト注入（IPI）脆弱性であり、Radwareによって発見され、OpenAIに対して責任ある形で開示されました。OpenAIはこの脆弱性を確認し、修正しました。
• ビジネスへの影響：個人識別情報（PII）／医療情報（PHI）、取引データ、法的戦略、および 認証情報の漏洩；規制違反（GDPR／CCPA／SEC）の可能性、評判の 毀損、およびそれに伴う不正行為
• ゼロクリック型脆弱性：悪意のあるリンクをクリックしたり開いたりする必要はなく、 通常のアシスタント業務によって情報漏洩が引き起こされる
• サービス側の情報漏洩：機密情報や個人情報が、組織が管理するデバイス上で実行されているChatGPTのクライアントを経由することなく、直接OpenAIのサーバーから漏洩するため、影響を受けた組織がこの情報漏洩を検知することはほぼ不可能です。
• 適用範囲：ChatGPTに接続されたあらゆるデータソースは、エージェントによって利用される可能性があり、その情報がOpenAIのインフラストラクチャから漏洩する恐れがあります。

要約

ShadowLeakは、新たに発見されたゼロクリック型間接プロンプト注入（IPI）の脆弱性であり、 OpenAIのChatGPTが企業のGmailに接続され、 ウェブの閲覧が許可されている場合に発生します。攻撃者はこの脆弱性を悪用し、 一見正当に見えるメールを送信することで、目に見えない、あるいは一見して判別できないHTMLに 悪意のある指示を密かに埋め込みます。 従業員がアシスタントに 「今日のメールを要約して」や「特定のトピックについて 受信トレイを検索して」と依頼すると、エージェントは罠が仕掛けられたメッセージを取り込み、 ユーザーによるさらなる操作を必要とせずに、 攻撃者が制御するURLを、個人情報（氏名、住所、 社内機密情報など）を含むパラメータと共に呼び出すことで、機密データを外部へ流出させます。 重要な点として、このWebリクエストは、OpenAIのクラウドインフラストラクチャ上で実行されているエージェントによって行われるため、情報漏洩はOpenAIのサーバーから直接発生することになります。以前に公開された間接的なプロンプトインジェクションの脆弱性とは異なり、悪意のあるリクエストや個人情報はChatGPTのクライアントを経由することはありません。 クライアントを経由することはありません。その結果、影響を受けた組織は、監視すべき明確な痕跡も、組織の境界で分析すべきフォレンジック証拠も得られない状態となります。

この種のエクスプロイトは、新たに台頭しつつある「エージェントのインターネット（Internet of Agents）」——プロトコルやサービスを横断して動作する、自律的でツールを活用するAI——において説明されている、より広範なリスクと関連しています。組織がこうしたアシスタントをメールボックス、CRM、人事システム、SaaSに組み込むにつれ、ビジネスリスクは「モデルが何を示すか」から「エージェントが何をするか」へと移行しています。

ShadowLeakの仕組み

攻撃者は、企業のメールボックスに一見正当なメールを送信します。そのメール本文内には、 極小のフォントや白地に白文字、あるいは書式設定のメタデータの中に隠された形で、 従業員ではなくアシスタントに向けた指示が仕込まれています。その後、 従業員がアシスタントに受信トレイの分析や要約を依頼すると、 そのエージェントは罠が仕掛けられたメッセージを取り込み、「許可された」 アクションを実行します。つまり、リンクをクリックし、攻撃者が制御する外部URLにアクセスし、 最近のメールから抽出した個人情報（氏名、住所、 識別子など）をクエリ文字列に追加します。誰も悪意のあるリンクをクリックすることはなく、 サンドボックスで分析すべき添付ファイルも存在しません。エージェントは、日常的なタスクを遂行する過程で、 直接データを漏洩させてしまうのです。

この「ゼロクリック」という特性により、この脆弱性を防ぐことは不可能です。 従来のセキュリティ意識向上トレーニングでは、人間による判断の瞬間――つまり、 一旦立ち止まり、確認し、拒否する瞬間――を前提としています。 ShadowLeak はその瞬間を排除します。この攻撃は、生産性を高めるために意図的に有効にした機能、すなわちメールボックスへのアクセス、ウェブ閲覧、自律的なツールの使用を悪用します。外部から見ると、そのトラフィックは許可されたアシスタントの活動のように見えます。内部では、安全な出力に焦点を当てたガードレールでは、ここで本当に重要なもの――つまり、隠蔽されたツール駆動型のアクション――を検知できません。

サービス側の情報漏洩こそが、この脆弱性の核心です。ChatGPTクライアントには悪意のあるURLや機密データが渡されることはなく、またクライアント側でWebリクエストが実行されないため、組織の境界からデータが漏洩することはなく、組織側はこの事象に気づくことができません。

アシスタントを標的としたフィッシング

The attacker’s craft is as much social engineering for machines as it is for people. In repeated runs, the attack worked roughly half the time with a simple instruction and a plain exfiltration URL, such as https://hr-service.net/{params}. A determined adversary using better prompts and a domain reflecting the malicious prompt’s intent can get much better results. In testing, success rates improved considerably when urgency was added to the prompt instruction and the exfiltration endpoint was made to resemble a compliance check with an employee directory lookup endpoint: https://compliance.hr-service.net/public-employee-lookup/{params}. The agent’s internal reasoning now treats the malicious prompt as part of an urgent HR compliance task.

その重要性

ShadowLeakは、AIアシスタントの有用性を支える機能そのものを悪用します： メールへのアクセス、ツールの使用、自律的なWeb呼び出しなどです。その結果、「ユーザーに代わって」行われる、記録されない操作や、気づかれないデータ漏洩が発生し、 意図的なユーザーのクリックを前提とした従来のセキュリティ制御や、ゲートウェイレベルでのデータ漏洩防止対策を迂回してしまいます。

メールだけにとどまらない

ShadowLeakが電子メールの枠を超えて重要である理由を理解するには、現代のアシスタントの基盤となるアーキテクチャについて考えてみましょう。 企業は、単一のチャットボットから、 メールを読み取り、ツールを参照し、APIを呼び出し、 ますます他のエージェントと連携する、目標指向型エージェントのネットワークへと移行しつつあります。 AnthropicのModel Context Protocol（MCP）やGoogleのAgent-to-Agent（A2A）といったプロトコルは、エージェント間およびエージェントシステム間の相互作用を標準化しています。MCPはエージェントに外部データを操作・アクセスするための「手」を与え、A2Aはエージェント同士が連携するための「言語」を提供します。 MCPを使えば、AIはあなたの システム管理者となり、A2Aを使えば、あなたの使者となります。これらを組み合わせれば、あなたは 完全に制御しきれていないシステム間で交渉し、行動する「ローミング・デリゲート」を手に入れることになります。生産性は飛躍的に向上するかもしれませんが、ガバナンスをそれに合わせて再設計しない限り、予測可能性、 監査可能性、および制御性は低下することになります。

これが「エージェントのインターネット」であり、それはすでに現実のものとなっています。その振る舞いは、 一連のエンドポイントというよりは、自律的なアクターのメッシュに近いものです。アイデンティティは 流動的になり、指示は不透明で、権限は推移的かつ 分散しています。このような環境では、プロンプトの注入は単一の 応答を歪めるだけでなく、連鎖反応を引き起こす可能性があります。隠された 指令を仕込んだエージェントを侵害し、MCPを介して悪意のあるツールを呼び出すよう誘導すれば、単一のログ行では無害に見えるが、全体として見れば悪意のある、 連鎖したエクスプロイトが生み出される。この不穏なシナリオは単なる理論上の話ではない。連鎖した 侵害、エージェントの目的の不一致、さらにはA2Aメッシュを横断するゼロクリックの横方向移動でさえ、 まさにセキュリティ研究が記録し始めているリスクパターンそのものである。

ShadowLeakは、目に見えない脅威の典型的な例です。これは、 アシスタントに許可された権限を悪用して、ビジネスに悪影響を及ぼします。 人事や法務部門にとっては、日常的なメールボックスの要約処理中に、個人識別情報（PII）や案件戦略が 知らぬ間に漏洩してしまう可能性があります。財務部門にとっては、月末の準備作業の一環として、請求書や価格の詳細が 外部へ持ち出されてしまう可能性があります。営業部門にとっては、パイプラインの概要が 送信リクエストに顧客データが密かに含まれる可能性があります。ITやSecOps部門では、トークンや秘密情報が スレッドに紛れ込み、攻撃者のエンドポイントへと流出するケースが考えられます。 アラームは鳴らず、単なる「通常の」アシスタントの動作として見過ごされてしまいます。この パターンは一貫しています。被害は、画面上に表示される不適切な文章から生じるのではなく、 ポリシーで明示的に制限されていなかった 舞台裏の動作から生じるのです。

新たな脅威の標的領域

これが不気味なほど見覚えがあると感じるなら、それは私たちがすでにその初期の 輪郭を目にしてきたからに他なりません。現在、アシスタントはメールの要約、ウェブの閲覧、そして 他のエージェントとの連携を、当然のこととして行っています。そのような世界では、あらゆるコンテンツが潜在的な引き金となり、あらゆるツールが潜在的な情報流出経路となり、そして あらゆるエージェントが潜在的な増幅器となるのです。

これまでの研究では、 オフィスアシスタントにおけるゼロクリック型IPIについて、コンテンツ内に隠された指示が、 ユーザーの操作なしに意図しない動作を引き起こし得ることが示されていました。しかし、 これまでに公表された脆弱性とは異なり、ShadowLeakは、画像のレンダリングを活用して、 悪意のあるURLや個人データをクライアントに送信し、エージェントに代わってウェブリクエストを実行させることはありません。 ShadowLeakでは、Webリクエストは OpenAIのクラウドインフラストラクチャ上で実行されているエージェントから直接行われます。 これにより、ShadowLeakは以前公開された脆弱性に比べてよりステルス性が高く、影響を受ける組織による検知がほぼ不可能となります。

推奨事項

まず、アシスタントを単なるチャット機能ではなく、特権を持つ主体として再定義することから始めましょう。もし、 同じメールボックスを持ち、機密情報へのアクセス権を持つ人間が 厳格な管理の対象となるのであれば、エージェントも同様に管理されるべきです。LLMへの取り込み前に、すべての受信HTMLを サニタイズし、隠された指示が削除または無効化されるようにします。また、 可能な限り、ドキュメントを安全なテキストに平坦化します。 次に、この「ブラックボックス」の内部を可視化するために、 エージェントのすべてのアクションを「誰が・何を・なぜ」というメタデータとともにログに記録し、 調査が可能になるだけでなく、何よりも重要なのは抑止効果を高めることです。

ただし、従来の検知手法は 悪意のあるAIプロンプトに対しては機能しないという点に留意することが重要です。 従来のSQLインジェクションやコマンドインジェクションの 攻撃は、厳密に構造化されたプログラミング言語を標的としているため、そのペイロードは 検出可能な限られたパターンに従います。対照的に、プロンプト攻撃は 自然言語で記述されており、同じ意図を表現する方法は事実上無限に存在します。その意図を見抜くには、LLMやそれに相当する技術による意味解析が必要であり、 今日の多くのツールが依存している正規表現やステートマシンエンジンでは不十分です。

組織による外部URLの厳格な監視やホワイトリスト登録でさえ、 この新たな攻撃ベクトルを軽減することはできません。ウェブリクエストは OpenAIのインフラストラクチャから行われるため、機密データを含むネットワークトラフィックが 組織自身のネットワーク外へ流出することはありません。Aim Labsによる以前の研究で、 「EchoLeak」 脆弱性に関する以前の研究では、エージェントから提供されたMarkdown画像を ChatGPTクライアントでレンダリングすると、機密データが組織の「安全」な許可リストに登録されたMicrosoft TeamsのURLを経由して流出することが実証されました。 Teamsのホストは信頼されていたため、このようなリクエストはアウトバウンド制御をすり抜ける可能性があり、オープンリダイレクトによって完全な文字列（秘密情報 を含む）を攻撃者のサーバーに転送してしまう。しかし、「ShadowLeak」の場合、組織のインフラ内にあるChatGPTクライアントは決して不審な動作を行わない。OpenAIのインフラのコンテキストで実行されているエージェントが呼び出しを行い、その結果、組織の管理や監視の及ばない外部へデータが漏洩することになる。

ガバナンスは、機能面の発展に追いつく必要があります。例えば、サプライヤーの 質問票や契約プロセスを更新し、モデルの取り込みの上流段階で、プロンプト注入に対する耐性テストとサニタイズを義務付けるようにします。アシスタントの権限をセグメント化し、 「読み取り」と「実行」が異なるスコープとなり、異なるサービスアカウントで処理されるようにします。自律性に関する成熟度モデルを構築し、 読み取り専用の分析から始め、セキュリティレビューを経て初めて監督付き アクションへと段階的に移行する成熟度モデルを構築する。その後、広範な展開に青信号を点灯させる前に、 ゼロクリックIPIプレイブックやポイズンドツールテストを用いてスタック全体に対してレッドチーム攻撃を実施する。目標は、エージェント型AIを阻止することではなく、 資金の移動、顧客データへのアクセス、あるいは環境の状態変更を行う可能性のあるあらゆるシステムに適用するのと同じ規律をもって、それを安全に展開することである。

最後に、攻撃側が急速に学習しているという事実を受け入れる必要があります。ダークマーケットのAIは専門化が進んでおり、現在、何千ものMCPエンドポイントがツールチェーンを公開していますが、注意を怠れば、これらは誘導されたり、改ざんされたりする恐れがあります。この新たな状況下で有効な防御態勢とは、モデルのプロンプトや出力を信頼できない入力として扱い、エージェントを本番システムと同様に監視・管理し、 、そして攻撃者が、自社のアーキテクトがサービスを連結するのと同じようにプロトコルを連結してくると想定する姿勢です。先を行く企業とは、エージェント経済を受け入れつつ、セキュリティを後付けではなく機能として位置づける企業となるでしょう。つまり、アシスタントを便利にする一方で、その説明責任も果たさせるのです。

概要

ShadowLeakは警鐘であり、明かりを消す理由ではありません。メール処理の煩わしさ、知識検索、そしてワークフローの連携という重荷を肩代わりしてくれるアシスタントの約束は、現実のものであり、追求する価値があります。 その実現への道は、 単純とは言えないまでも、明快です。エージェントを特権的な主体として扱い、 エージェントが閲覧する入力情報を厳重に保護し、送信可能な出力を制限し、他の重要なシステムや ユーザーと同様に、ログ記録、レビュー、ガバナンスの基準を適用することです。そうすれば、生産性を維持しつつ、データも守ることができます。