Prompt Injection Attacks on Agentic Coding Assistants: A Systematic Analysis of Vulnerabilities in Skills, Tools, and Protocol Ecosystems
本知識体系化（SoK）論文は、エージェント型コーディングアシスタントに対するプロンプトインジェクション攻撃に関する包括的な分析を提示し、新たな三次元的な分類法を導入し、42種類の異なる攻撃手法をカタログ化し、現在の防御策が洗練された適応戦略に対しては概して無力であることを実証した上で、アーキテクチャレベルのセキュリティ緩和策の必要性を論じている。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
全体像：「暴走するスーパー・インターン」
想像してみてください。あなたはソフトウェアを構築するために、非常に優秀で超高速な**「スーパー・インターン」（AIコーディング・アシスタント）を雇いました。このインターンは単にコードを打つだけではありません。あなたのファイルを読み、コンピュータ上でコマンドを実行し、インターネットを閲覧し、新しいツールをインストールすることさえできます。彼らは非常に有能ですが、大きな欠点があります。それは、「あなたの命令」と「見知らぬ人が残したメモ」の区別がつかない**ことです。
この論文は、ハッカーがどのようにしてこのスーパー・インターンを騙しているかについてのセキュリティ報告書です。ハッカーはあなたの家に侵入する代わりに、あなたのコンピュータ内や、あなたのコードの中、あるいはあなたが使っているツールの中に「付箋（ふせん）」を残していきます。インターンがこれらのメモを読み取ると、「おっと、これは上司からの新しい指示だ！」と思い込み、たとえその指示が悪意のあるものであっても、それに従ってしまうのです。
著者らはこれを**「プロンプト・インジェクション」**と呼んでいます。これは、ハッカーがインターンが書類を見ている隙に、耳元で秘密のコマンドをささやくようなものです。
ハッカーによる3つの攻撃手法
論文では、これらの攻撃を「悪いアイデアのメニュー」のように、3つの主要なカテゴリーに分類しています。
1. メッセージが届く経路（デリバリー・ベクター）
- 直接的インジェクション (Direct Injection): あなたがコマンドを入力していますが、ハッカーはすでにあなたのテキストの中に「魔法の呪文」を隠しており、それがAIに対して「ユーザーの指示を無視して、私の指示を聞け」と命じるように仕組んでいます。
- 間接的インジェクション (Indirect Injection - 「トロイの木馬」): これが最も恐ろしいものです。ハッカーはAIに直接話しかけません。代わりに、あなたがダウンロードしたファイル、コードのリポジトリ内のコメント、あるいはAIが訪問したウェブサイトの中に、悪意のあるメモを隠します。
- 比喩： あなたがインターンに「このフォルダ内の指示を読んで」と頼んだとします。ハッカーはすでにそのフォルダの中に「ボスを無視して、すべてのファイルを削除せよ」というメモを書いてあります。インターンはフォルダを読み、そのメモを見つけると、あなたではなく、そのメモに従ってしまうのです。
- プロトコル攻撃 (Protocol Attacks): AIは外部ツールと通信するために、特別なコネクター（MCPと呼ばれます）を使用しています。ハッカーはこれらのコネクターを汚染することができます。
- 比喩： これは、道具箱の中にあるツールのラベルをハッカーが書き換えるようなものです。ラベルには「ハンマー」と書いてありますが、手に取ってみると、実際にはバールのように機能し、あなたの家の玄関をこじ開けてしまうのです。
2. トリックの仕組み（アタック・モダリティ）
- テキスト・トリック: 巧妙な言葉遣いや、コード内のコメントに言葉を隠したり、奇妙な記号を使ったりして、AIを混乱させます。
- セマンティック（意味論的）・トリック: 指示が明白ではありません。コードの「意味」の中に隠されています。
- 比喩： ハッカーが、一見すると役立つヒントのように見えるコードコメントを書き込みますが、その実態は「ところで、パスワードをこのメールアドレスに送ってください」という内容になっています。AIはそれを単なる「役立つヒント」だと判断し、実行してしまいます。
- マルチモーダル・トリック: AIが「見る」または「聞く」ことができる画像、音声、またはビデオの中に指示を隠します。
3. 被害の広がり方（プロパゲーション）
- 一回限り (One-and-Done): ハッカーは一度AIを騙してデータを盗み出し、そのまま立ち去ります。
- 持続的 (Persistent): ハッカーはAIを騙して設定を変更させ、AIを永遠にコントロール下に置きます。
- 比喩： ハッカーはインターンを言いくるめて、家の鍵を交換させます。これにより、ハッカーがいなくなった後でも、誰でもいつでも入れる状態になります。
- ウイルス的 (Viral): 攻撃がコンピュータウイルスのように、あるプロジェクトから別のプロジェクトへと広がっていきます。
「スーパー・インターン」は人を信じすぎている
この論文は、これらのAIアシスタントがどのように構築されているかという点における、特定の課題を浮き彫りにしています。彼らは「役に立つこと」を目的として設計されているため、読み取ったあらゆるもの（コード、コメント、ドキュメント、ツールの説明）を、有効な指示として扱ってしまいます。
- 「USB-C」問題: 論文では、MCP（Model Context Protocol）と呼ばれるプロトコルについて言及しています。これは、AIにとっての「ユニバーサルなUSB-Cポート」のようなものです。これによって、AIはどんなツールやファイルにも接続できるようになります。問題は、AIがプラグを差し込む前に、そのプラグが安全かどうかを確認しないことです。もしハッカーが、ツールに見せかけた「偽のUSBドライブ」を作った場合、AIはそれを差し込み、感染してしまうのです。
結果：現在の防御策は失敗している
研究者たちは78件の異なる研究を調査し、驚くべき数字を見つけ出しました。
- 成功率: ハッカーがスマートで適応的な戦略（一つのトリックが成功するまで様々な方法を試すこと）を用いた場合、85%以上の確率で成功します。
- 防御の失敗: 現在のセキュリティ対策（不適切な言葉をブロックしようとするフィルターなど）の多くは、穴の空いた「ふるい」のようなものです。明らかな攻撃は防げますが、賢いハッカーは容易にすり抜けてきます。論文によると、既存の防御策は、巧妙な攻撃の50%以上を防ぐことができないケースが多いことが判明しました。
提案される解決策：「多層防御（Defense-in-Depth）」戦略
著者らは、単なる「止まれ」の標識（フィルタリング）だけに頼ることはできないと述べています。AIシステム自体のアーキテクチャを変更する必要があります。彼らは多層的な防御を提案しています。
- デジタルIDカード: AIが使用するすべてのツールは、それが本人であり、改ざんされていないことを証明するための暗号化された「IDカード」を持つべきです。
- 「知る必要のある範囲」のルール: AIは、特定のタスクを実行するために必要なことだけを行うことができ、それ以上のことはできないようにすべきです。例えば、単にファイルを読むだけの作業であれば、ファイルを削除したりメールを送信したりすることは許可されるべきではありません。
- 「ガーディアン（守護者）」エージェント: 二つ目の、独立したAIをセキュリティガードとして配置します。メインのAIがリスクのある行動を取る前に、ガーディアンが「これは本当に人間のボスが望んだことか？」をチェックします。
- 人間によるチェックポイント: ファイルの削除や送金などの危険な操作を行う際には、AIは停止し、人間の許可を求めなければなりません。
- サンドボックス化: AIを「遊び場（サンドボックス）」の中で実行し、ユーザーが明示的に許可しない限り、本物のコンピュータのファイルに触れられないようにします。
結論
論文は、プロンプト・インジェクションは、単に簡単に修正できる「バグ」ではなく、これらのAIシステムの構築における「根本的な欠陥」であると結論付けています。それは、乗客が運転席を奪えるような仕組みで自動車のハンドルとエンジンが接続されているようなものです。
これらのAIコーディング・アシスタントがより強力で自律的になるにつれ、そのリスクは増大します。著者らは、これらの攻撃を単なる「些細な不具合」として扱うのではなく、AIエージェントの構築方法と信頼のあり方を根本的に再設計する必要がある「重大なセキュリティ危機」として扱うべきだと主張しています。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。