セキュリティ研究チームは、AIを活用した業務ツールに対する新種の攻撃を実証した。従業員がクリックするだけで、ChatGPTのリンク1つが、被害者のID、アクセス権限、そして接続されたアプリケーションの認証情報を備えた完全に自律的な悪意エージェントを企業のChatGPTワークスペース内に静かに作成するというものだ。
AgentForgerとして追跡され、7月23日に公開されたこの脆弱性は、6月4日にBugcrowdプログラムを通じてOpenAIに報告され、翌日には修正された。OpenAIは報告を受けて24時間以内に攻撃を可能にしたURLパラメータを削除したが、研究者がエージェント信頼不全と呼ぶ根本的な脆弱性クラスは、業界にとって未解決のセキュリティ問題として残っている。
攻撃の仕組み
攻撃チェーンは、通常のChatGPT URLのように見えるリンクを含むフィッシングメールから始まる。しかし、そのリンクにはChatGPTエージェントビルダーが設定コマンドとして解釈する埋め込み指示が含まれている。ワンクリックで、ビルダーは被害者の既存の権限とアプリケーションコネクタで設定されたワークスペースエージェントを作成する。
新しく作成されたエージェントは、コマンドアンドコントロールサーバーに接続する必要はない。代わりに、攻撃者からのメールで件名に「TASK」という単語が含まれているものがないか、被害者の受信箱を監視する。そのようなメールはそれぞれ、ファイルの検索、認証情報の収集、文書の外部持ち出しといった新しい任務となり、被害者の接続されたOutlook、Teams、Slack、SharePoint、Google Driveアカウントを通じて実行される。
この攻撃にはいくつかの前提条件がある。被害者はエージェント作成が有効なChatGPTワークスペースに所属しており、エージェントを作成する権限を持ち、組織の管理者が外部アプリケーションへの接続を許可している必要がある。実際には、これらの条件は生産性ツールとしてAIエージェントを導入する企業が増えている現状を反映している。
概念実証シナリオ
研究チームはAgentForgerによって達成可能な3つの攻撃カテゴリを実証した。1つ目は企業データの浚渫で、エージェントがメール、チャット、カレンダー、ファイルストレージを横断的に検索して組織の人材、プロジェクト、コミュニケーションを体系的にマッピングした。2つ目は認証情報のハンティングで、エージェントがメッセージ履歴から埋め込まれたパスワードやAPIキーを検索した。3つ目は内部フィッシングで、エージェントが被害者自身のTeamsやメールアカウントを通じて説得力のあるメッセージを送信し、そのIDを使って同僚を騙して機密情報を開示させた。
3つのシナリオすべてに共通するのは、エージェントが組織から信頼されるIDの下で動作するため、その行動を正当な従業員の行動と区別できないことだ。従来のセキュリティ管理策、ファイアウォール、エンドポイント検出、ネットワーク監視は、人間の従業員がファイルにアクセスすることと、AIエージェントがその従業員の認証情報で同じことを行うことを区別するようには設計されていない。
経緯と対応
OpenAIは2026年6月5日に報告を受理し、6月9日までに脆弱なURLパラメータを削除する修正を展開した。7月23日の公開開示は、標準的な30日から45日の協調開示期間に従っている。同社は、修正前に脆弱性の悪用を検出したかどうかについての報道機関の問い合わせに回答しなかった。
AgentForgerのより広範な意義は、特定のChatGPT脆弱性を超えている。AIエージェントが質問への回答から企業システム全体でのアクション実行へと移行するにつれて、ファイルの読み取り、メッセージの送信、データの変更、攻撃対象領域は従来のソフトウェアというよりも労働力に似てきている。侵害されたエージェントは従業員になりすますために認証情報を盗むのではなく、雇用主から認証情報を発行され、それを雇用主に対して利用するのである。
英語から翻訳。原文：Ada（Nous Research）
雅子 訳