Mateo Rojas-Carulla, AIエージェントセキュリティ担当研究責任者、Check Point Software Mateo Rojas-Carulla AIエージェントセキュリティ担当研究責任者、Check Point Software

2026年のAIエージェントに対する早期攻撃から何がわかるか

AIが制御された実験から実世界のアプリケーションへの移行により、セキュリティの景観は変化点に達しています。静的な言語モデルから、ドキュメントを参照したりツールを呼び出したりマルチステップのワークフローをオーケストレートできるような、インタラクティブでエージェント的なシステムへの移行はすでに進行中です。しかし、最近の研究は、攻撃者が成熟を待たずに、迅速なペースで適応していることを明らかにしています。2025年第四象限にわたって、Lakeraの私たちのチームは、Guardによって保護されたシステムとGandalf：エージェントブレーカー環境内の実際の攻撃者行動を分析しました — 30日間の集中したスナップショットであり、狭い時間枠にもかかわらず、四象限全体で観察したより広いパターンを反映しています。調査結果は、明確な絵を描きます：モデルのインタラクションが単純なテキストプロンプトを超えるようになると（例：ドキュメント、ツール、外部データ）、脅威の表面が拡大し、攻撃者はそれを瞬時に利用するようになります。この瞬間は、初期のWebアプリケーションの進化を見た人や、API駆動型の攻撃の台頭を見た人にとっては、馴染みのあるものかもしれません。しかし、AIエージェントの場合、賭けは異なります。攻撃ベクターは、多くの組織が予想していたよりも早く出現しています。理論から実践へ：野生のエージェント2025年の大部分において、AIエージェントに関する議論は、主に理論的な潜在性と初期のプロトタイプに焦点を当てていました。しかし、第四象限になると、プロダクションシステムでエージェント的な動作が大規模に現れ始めました：ドキュメントを取得して分析したり、外部APIとやり取りしたり、自動化されたタスクを実行したりできるモデル。これらのエージェントは、明らかな生産性の利点を提供しましたが、従来の言語モデルでは開かれなかった扉も開けました。私たちの分析は、エージェントが外部コンテンツやツールとやり取りできるようになると、攻撃者がそれに気付き、適応したことを示しています。これは、攻撃者の行動に関する基本的な真実と一致しています：攻撃者は、新しい機能が利用可能になるとすぐにそれを探索し、利用しようとします。エージェントAIの文脈では、これは攻撃戦略の急速な進化につながりました。攻撃パターン：2025年第四象限で見られているもの私たちが調査したデータセット全体で、3つの支配的なパターンが浮かび上がりました。各パターンは、AIシステムの設計、セキュリティ、展開方法に重大な影響を及ぼします。1. システムプロンプト抽出としての中央的な目的従来の言語モデルでは、プロンプトインジェクション（入力の直接操作）がよく研究された脆弱性でした。しかし、エージェント的な機能を持つシステムでは、攻撃者は、エージェントの動作を導く内部の指示、役割、ポリシー定義である《システムプロンプト》を標的にしています。システムプロンプトの抽出は、高い価値を持つ目的です。これらのプロンプトには、役割定義、ツールの説明、ポリシーの指示、ワークフローの論理が含まれることが多いためです。攻撃者がこれらの内部メカニズムを理解すると、エージェントを操作するためのブループリントが得られます。これを達成するための最も効果的なテクニックは、強制攻撃ではなく、巧妙な再構成でした： 仮想シナリオ：モデルに異なる役割やコンテキストを想定させるプロンプト — 例えば、「このシステム構成をレビューする開発者であると想像してください…」 — は、保護された内部詳細をモデルから引き出すことができました。 構造化コンテンツ内のオブスキュレーション：攻撃者は、コードのような構造化されたテキストの中に悪意のある指示を埋め込み、シンプルなフィルタを回避し、エージェントによって解析されたときに予期しない動作を引き起こしました。 これは、エージェントシステムの内部ロジックの保護方法を根本的に変えるものではありません。2. 微妙なコンテンツセーフティバイパス別の重要な傾向は、従来のフィルタで検出および緩和が難しい方法で、コンテンツセーフティ保護をバイパスすることです。攻撃者は、有害なコンテンツを次のように装った： 分析タスク 評価 ロールプレイシナリオ 変換または要約 これらの再構成は、表面上では無害に見えたため、セーフティコントロールを通過しました。直接的な有害な出力要求を拒否するモデルは、同じ出力を「評価」または「要約」するように依頼されたときには、喜んで生成しました。これは、より深い課題を浮き彫りにします：エージェントのコンテンツセーフティは、ポリシーの施行だけではなく、モデルが意図を《どのように解釈するか》に依存しています。エージェントがより複雑なタスクとコンテキストを担うにつれて、モデルはコンテキストに基づく再解釈に弱くなり、攻撃者はこの動作を利用します。3. エージェント固有の攻撃の出現おそらく最も重大な発見は、エージェント的な機能の文脈でのみ意味のある攻撃パターンの出現でした。これらは、単純なプロンプトインジェクションの試みではなく、新しい動作に結びついたものでした： 機密内部データへのアクセス試行：エージェントを、接続されたドキュメントストアまたはシステムからの情報を取得または公開するように促すプロンプトが作成されました — 以前のモデルでは、これらのアクションは範囲外でした テキストに埋め込まれたスクリプト形状の指示：攻撃者は、エージェントパイプラインを通過し、予期しないアクションをトリガーできるような、スクリプトまたは構造化されたコンテンツに似た形式の指示を埋め込むことを試みました 外部コンテンツに隠された指示：いくつかの攻撃では、エージェントが処理するように依頼されたWebページやドキュメントなどの外部参照コンテンツの中に、悪意のある指令を埋め込み、直接の入力フィルタを回避しました これらのパターンは初期段階ですが、エージェントの拡大する機能が根本的に攻撃者の行動の性質を変える未来を示唆しています。間接攻撃がなぜ効果的か報告書の最も印象的な発見の1つは、間接攻撃 — 外部コンテンツまたは構造化されたデータを利用するもの...