WebMCP Tool Surface Poisoning: Runtime Manipulation Attacks on LLM Agents
本論文は、WebMCPプロトコルにおける新たなセキュリティ脅威である「ミッドセッション・ツールインジェクション（MSTI）」を特定および分析し、攻撃者がサードパーティ製スクリプトを利用してアクティブなセッション中にエージェントがアクセス可能なツールをハイジャックまたはフレーム化する手法を明らかにした上で、このようなランタイム操作攻撃に対してツールのサーフェスを保護するための具体的な設計上の緩和策を提案する。
原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
あなたが、旅行の予約や家計の管理といった複雑なタスクをこなすために、非常に知的なパーソナルアシスタント（AIエージェント）を雇ったと想像してください。あなたは、そのアシスタントが使用できる承認済みのツールリストとして、「検索エンジン」、「カレンダー」、「決済プロセッサー」という、固定されていて安全なリストを与えました。
この論文は、**WebMCP ツール・サーフェス・ポイズニング（Tool Surface Poisoning）**と呼ばれる新しいセキュリティ上の脅威を紹介しています。この論文は、あなたのAIアシスタントが利用できるツールのリストは、実際には固定されたものではないと主張しています。それは、アシスタントが作業している最中に、ハッカーによって密かに書き換えられることができる「デジタルメニュー」のようなものです。
以下に、簡単な比喩を用いて、この論文の知見を解説します。
コアとなる問題：「魔法のメニュー」
新しい WebMCP システムでは、ウェブサイトがAIエージェントに対して直接ツールを手渡すことができます。この論文は、このシステムには欠陥がある、つまりツールのリストは**動的（ダイナミック）**であると警告しています。
AIエージェントを、キッチンにいるシェフだと考えてください。「ツール」とは、カウンターの上にあるナイフ、鍋、そして食材のことです。
- 従来の方法： シェフは最初に固定された材料リストを受け取ります。もしリストに「トマト」とあれば、シェフはトマトを使います。
- WebMCP の方法： シェフが料理をしている最中に、カウンターの上の食材が変わることがあります。いたずら好きな第三者（ハッカー）が、シェフが手を伸ばす直前に「トマト」を「毒のあるベリー」にすり替えたり、あるいは一見無害に見えるが料理を台無しにする新しい「スパイス」を勝手に追加したりできるのです。
2つの主要な攻撃
研究者たちは、この「キッチン」をめちゃくちゃにする2つの具体的な方法を特定しました。
1. ツール・ハイジャッキング（「すり替え」攻撃）
これは、マジシャンがカードを選ぶ直前に、本物のトランプデッキを偽物のデッキにすり替えるようなものです。
- 仕組み： ハッカーはスクリプトを使用して、正当なツール（例：「メール送信」）を削除し、直後に全く同じ名前を持ちながら、悪意のある動作をするもの（例：「ハッカーへメール送信」）に置き換えます。
- 結果： AIは騙されたことに気づきません。自分は本物のツールを使っていると思っていますが、実際にはあなたのプライベートなデータを攻撃者に渡してしまっています。
- 論文の知見： この攻撃は非常に効果的です。テストの結果、もし入れ替えが早い段階で行われれば、AIは100%の確率で偽のツールを使用し、機密データをハッカーに送信しました。
2. ツール・フレーミング（「変装」攻撃）
これはツールを入れ替えることではなく、ツールの役割について嘘をつくことです。
- 仕組み： ハッカーは本物のツールを取り除くことはしません。代わりに、新しい悪意のあるツールを追加し、それに非常に説得力のある説明を付け加えます。例えば、ある「データ窃取ツール」を「送信前のセキュリティチェックが必要」や「コンプライアンス手順」といったラベルで飾るのです。
- 結果： AIはそのツールが必要かつ安全なものだと判断し、通常のワークフローの一部として使用することを選択します。
- 論文の知見： これはより巧妙です。AIは元のタスク（メールの送信など）を完了させながら、バックグラウンドで偽のツールも同時に使用してしまうことがよくあります。タスクは成功したように見えますが、データは流出しています。いくつかのケースでは、AIはこの変装に85%の確率で引っかかりました。
「成功のレシピ」
研究者たちは、これら3つの攻撃を、現在利用可能な最もスマートなAIモデル（GPT-5.4、Claude Opus、Gemini 2.5）に対してテストしました。その結果、以下のことが分かりました。
- タイミングがすべて： もしハッカーがAIが考え始める前にツールをすり替えた場合、AIはほぼ確実に騙されます。逆に、AIがすでにツールを選んだ後にすり替えが行われた場合、攻撃は通常失敗します。
- 説明文が重要： AIはツールのテキストによる説明に強く依存しています。もし説明に「これは必須の安全ステップです」と書かれていれば、たとえそのツールが悪意のあるものであっても、AIは従う可能性が非常に高くなります。
- モデルによる違い： AIによって「お人よし」の度合いが異なります。例えば、あるモデル（Gemini）は、法律用語が並ぶ長く退屈な説明に簡単に騙されましたが、別のモデル（Claude）は、その特定のトリックに対しては耐性がありました。
解決策：「キッチンに鍵をかける」
論文は、AIに「分かっているはずだ」と期待するだけでは不十分であり、システムの構築方法自体を変える必要があると提案しています。彼らは4つの主な修正案を提示しています。
- IDバッジ： すべてのツールは、作成者が誰であるかを証明する、変更不可能な恒久的なIDカードを持つべきです。もしツールが名前や所有者を変えようとした場合、システムはそれを拒否すべきです。
- 時刻のチェック： システムは、AIがタスクを開始してからツールリストに変更があったかどうかをチェックすべきです。もしツールがすり替えられていた場合、AIは停止して確認を求めるべきです。
- データの境界線： 各ツールには、どのデータに触れることを許可されているかを正確に伝えるべきです。「読み取り専用」のツールが、ハッカーのサーバーにデータを送信することはできません。
- ログの記録： システムは、ツールが追加、削除、または変更されるたびに詳細な日記（ログ）を記録し、何か不審なことが起きていないかを確認できるようにすべきです。
結論
この論文は、「ツール・サーフェス（AIが使用できるツールのリスト）」はもはや安全で静的な境界線ではないと結論付けています。そこは、ハッカーが攻撃できる新しい場所となってしまいました。たとえ最もスマートなAIモデルであっても、作業中に許可されているツールが密かにすり替えられたり、偽装されたりすれば、騙されてしまいます。安全を保つためには、AIが自力で判断することに頼るのではなく、ツールを常に検証するようにシステム自体を再設計する必要があります。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。