ZombieAgent：エージェント革命がもたらす悪意ある贈り物

---

主なポイント：

• エージェント型AIは、従来のセキュリティ対策の枠を超えた、強力な新たな攻撃対象領域を生み出します
• ゼロクリック型の間接プロンプト注入により、検知されない形でシステムへの侵入やデータの持ち出しが可能になる
• エージェントのメモリ操作により、AIエージェントが持続的な内部脅威となる
• 侵害されたエージェントは、組織やエコシステム全体に自ら拡散する可能性がある
• ZombieAgentのような、持続的でサービス側を標的とし、間接的なプロンプト注入攻撃を検知・封じ込めるには、従来の企業向け防御策やLLMのガードレールだけでは不十分です。

エグゼクティブサマリー

さまざまな業界の組織が、人間の介入なしにメールを読み取り、社内システムと連携し、ワークフローを起動し、意思決定を行うことができる自律型AIエージェントを急速に導入しています。この変化は、多くの人が「エージェント経済」と呼ぶものの始まりを告げるものです。これらのエージェントは生産性の大幅な向上をもたらすと期待されていますが、一方で、ほとんど規制されていない新たな攻撃対象領域も生み出しています。 RadwareのShadowLeak脆弱性（1、2）などの最近のインシデントは、攻撃者がこの新たなエコシステムをいかに容易に悪用できるかを浮き彫りにしています。 攻撃者は、電子メールや文書、その他の信頼できないデータに隠された指示を埋め込むことで、ユーザーの操作を介さずにAIエージェントの挙動を操作し、AIプロバイダーのクラウドインフラから直接、組織の機密データを盗み出すことができます。これらの攻撃は、ユーザーのデバイスに痕跡を残さず、ネットワーク監視を迂回し、従来の検知システムを回避します。

リスクはデータ漏洩にとどまりません。Radwareのセキュリティ研究者が「ZombieAgent」レポートで詳述した、新たに発見された高度な間接プロンプト注入（IPI）の手法により、攻撃者は情報を抽出できるだけでなく、エージェントの長期記憶に永続的なロジックを埋め込むことが可能になります。これにより、事実上エージェントを乗っ取り、企業内部で活動する「サイレント・インサイダー」へと変貌させてしまうのです。これらのエージェントは企業環境と相互作用し、機密データにアクセスできる場合が多いため、その影響は甚大になり得ます。 自律性、接続性、そして可視性の低さが相まって、エージェント型AIはサイバー犯罪者にとって魅力的な標的となり、長期的な侵害をもたらす潜在的な経路となっています。

脅威

エージェント型AIを取り巻く脅威の状況は急速に拡大しており、その特徴は、攻撃者がエージェントに対して「正当な指示とは何か」という認識を操作できる点にあります。このエコシステムにおける中核的な脆弱性である「間接的なプロンプト注入」は、大規模言語モデルが本質的に、信頼できる指示と信頼できないユーザーコンテンツとを区別できないという事実を悪用するものです。 電子メール、文書、またはウェブページに、書式設定のトリック、不可視のHTML、あるいはエンコードされたペイロードによって隠された指示などの隠れた指令が含まれている場合、エージェントはそれらを有効なコマンドとして解釈してしまう可能性があります。その後、エージェントが日常的なタスクを実行中にそのコンテンツを処理すると、知らず知らずのうちに攻撃者の指示を実行してしまう恐れがあります。

重大な問題は、エージェントによる多くのアクションが、ユーザーのデバイスではなく、AIプロバイダーのクラウドインフラストラクチャから直接実行されるという事実に起因しています。これは「ShadowLeak」攻撃で明確に実証されており、この攻撃における情報漏洩は、すべてOpenAIのクラウドシステムから発生していました。アクションがサーバー側で行われたため、通常のエンタープライズセキュリティ対策は一切機能しませんでした。 エンドポイントにはログが残らず、企業ネットワーク上でも不審なトラフィックは記録されず、従来型のデータ漏洩防止（DLP）ソリューションではエージェントの活動を可視化することができませんでした。このアーキテクチャは現在、複数のAIプラットフォームで一般的となっており、つまり他のプロバイダーにおいても同様の「不可視性」が適用されることになります。

より高度な攻撃では、その範囲は単一の情報漏洩事象にとどまりません。攻撃者が、エージェントがメモリや動作環境内に情報を保存する方法に影響を与えることに成功した場合、侵害状態が永続化する可能性があります。 セッションをまたいでコンテキストを維持したり、ユーザーの好みを記憶して自身を最適化するように設計されたエージェントは、攻撃者が定義したルールを保存するように仕向けられる可能性があります。一度埋め込まれると、これらのルールにより、エージェントは呼び出されるたびに、多くの場合、正当なユーザーのクエリに応答する前に、悪意のある操作を実行するようになります。この動作はメモリに組み込まれているため、侵害状態を維持するために攻撃者が再度介入する必要はありません。エージェントは半永久的に動作を続け、目立たない形で情報を収集し、外部サーバーに送信し続けることができます。

拡散により、さらなるリスクが生じます。侵害されたエージェントは、追加のメールアドレスを収集したり、ユーザーのメールボックスから連絡先を抽出したりするよう指示される可能性があります。その後、同様の悪意のあるペイロードを新たな標的に転送することが可能です。この仕組みにより、攻撃は組織内やそのパートナーエコシステム内で有機的に拡散することになります。これは従来のメールを介したマルウェアと似ていますが、より高度な自動化と精度を備えています。これにより、侵害された単一のエージェントが、より広範な攻撃キャンペーンの侵入経路となってしまいます。

ゼロクリック型間接プロンプト注入攻撃のフロー

典型的な攻撃は、一見無害な通信と見分けがつかないように巧妙に作成された電子メールや文書が送信されることから始まります。その内容には、エージェントに対して、受信トレイのデータの収集、機密ファイルの閲覧、外部エンドポイントへの接続などのアクションを実行するよう指示するコマンドが埋め込まれています。ユーザーが何かをクリックしたり、メッセージに対して操作を行ったりする必要は一切ありません。エージェントに受信トレイの要約や関連する通信の検索を依頼するだけで、エクスプロイトがトリガーされます。

悪意のあるコンテンツが処理されると、エージェントは埋め込まれた命令の実行を開始します。プロバイダーのクラウド環境内で動作するため、外部への接続は信頼されたインフラストラクチャから発信されます。ファイアウォール、セキュアWebゲートウェイ、プロキシ、エンドポイント保護ツールには、不正行為の兆候は一切検知されません。被害者にとっては、そのやり取りは通常通りに見えます。エージェントは標準的な要約や出力を返しますが、その裏では、すでに攻撃者の二次的なタスクを完了させています。

ペイロードにメモリ改変ロジックが含まれている場合、エージェントは自身の内部ルールやメモを書き換える可能性があり、その結果、悪意のある活動が繰り返し発生することになります。その瞬間から、新しいユーザーリクエストが送信されるたびに、攻撃者に代わって許可されていない動作が密かに実行されるようになります。拡散シナリオでは、エージェントは追加のアドレスを収集し、新たな接触メッセージを生成し、同様のペイロードを他の受信者に自動的に配布することがあります。これにより、企業環境内において、ワームのように迅速かつ目立たない形で拡散が可能となります。

従来のセキュリティ対策が機能しない理由

この種の攻撃は、企業のセキュリティアーキテクチャに潜む根本的な弱点を露呈しています。既存のツールは、エンドポイントや企業ネットワークから発せられる、人間による操作を前提として設計されています。これらのツールは、AIサービス内部で何が起きているか、あるいはエージェントが信頼できないコンテンツをどのように解釈しているかを監視するようには作られていません。高度なセキュリティシステムであっても、クラウドプロバイダーのインフラストラクチャ内で完全に完結する動作に対しては防御できません。なぜなら、組織にはそれらに対する可視性や制御権がないからです。

さらに、AIベンダーが構築したガードレールは、その多くがルールベースであり、事後対応型です。これらは通常、パターン、フィルタ、ヒューリスティックに依存して危険なリクエストをブロックします。攻撃者は、技術的にはこれらのルールに準拠しつつも、悪意のある目的を達成できるプロンプトを容易に設計することができます。 例えば、ZombieAgentは、文字単位の情報漏洩手法と間接的なリンク操作を用いて、OpenAIが前身のShadowLeakによる機密情報の漏洩を防ぐために実装したガードレールを回避しました。LLMには意図を本質的に理解する能力がなく、システムの指示と外部コンテンツとの間に信頼できる境界がないため、ベンダーによる改善が徐々に進められても、こうした攻撃者の手法は依然として有効であり続けています。

可視性の欠如、制限のない実行能力、そして脆弱な安全対策が相まって、間接的なプロンプト注入は、エージェント型AIに関連する最も重大な新たなリスクの一つとなっている。

推奨される緩和措置

エージェント型AIを導入する組織は、自律型エージェント特有の挙動や機能を考慮して、セキュリティ体制を適応させる必要があります。これらのエージェントは、広範かつ機密性の高い操作を実行する可能性がある特権的なデジタルIDとして扱うべきです。アクセス権限を制限し、その動作を監視し、入力データをクリーンアップすることが不可欠です。

重要な要件の一つは、エージェントが読み取れるデータの範囲や対象、および実行可能なアクションを制限することです。読み取り権限と実行機能を分離することで、侵害が発生した場合の影響を最小限に抑えることができます。信頼できない送信元からのすべての受信コンテンツは、エージェントに渡す前に、クリーンアップ、正規化、または安全なプレーンテキストに変換する必要があります。このサニタイズ処理を行わない場合、あらゆる電子メールや文書が、監視の及ばない攻撃対象となり得ます。

すべてのエージェントの動作、特にデータアクセスや外部へのリクエストを伴う動作をログに記録することで、可視性を高める必要があります。エージェントの動作がユーザーの意図から逸脱したことを検知するには、単純なルールベースのチェックではなく、動作の監視が必要です。導入前にはレッドチーム攻撃テストを実施し、特にゼロクリック型のIPI悪用、メモリ破損、拡散メカニズム、およびサービス側からの情報漏洩に焦点を当てるべきです。

ガバナンスも同様に重要です。組織は、エージェントがどのシステムに、どのような条件下で、どの範囲までアクセスできるかを定義するポリシーを策定しなければなりません。権限は定期的に見直すべきであり、正当な理由がない限り、恒久的なアクセス権を付与してはなりません。ベンダー評価には、エージェント型AIがどのように隔離され、監視され、プロンプト注入から保護されているかに関する質問を含める必要があります。適切な内部統制と、十分な情報に基づいた調達要件を組み合わせることで、リスクを大幅に低減することができます。

まとめ

エージェンティックAIの台頭は、企業テクノロジーにおける大きなパラダイムシフトを意味します。これらのシステムは強力な自動化と運用の効率化をもたらす一方で、攻撃者にとって新たな侵入機会を生み出します。ゼロクリック・プロンプトインジェクション、永続的メモリの操作、サーバー側でのデータ持ち出しなどは、その脅威の深刻さを物語っています。企業は、AIエージェントが単なる生産性向上ツールではなく、社内環境において広範かつサイレントに行動可能な特権的エンティティであることを認識し、迅速に適応しなければなりません。

エージェンティックAIのメリットを享受しつつリスクを回避するためには、調達や設定から、監視、緩和策、インシデント対応に至るまで、導入のあらゆる段階にセキュリティを組み込む必要があります。この新しい時代において、AIエージェントを適切な統制、監視、ガバナンスを備えた「完全なアイデンティティ」として扱う組織こそが、データ、従業員、そして業務を保護する上で最も有利な立場に立つことができるのです。