主流のチャットボットが登場して以来、AIセキュリティをめぐる議論はプロンプトインジェクションを中心に展開されてきた。これは、モデルが後で読むことになるコンテンツに命令を紛れ込ませる手口だ。チェック・ポイントの研究者2人は、業界は誤ったレイヤーを見つめてきたと主張する。8月5日にBlack Hat USAで発表された1年間に及ぶ調査で、ヤルデン・ポラト氏とシャハル・タル氏は、企業がAIエージェントを自社システムに組み込むために使うフレームワークに11件の脆弱性を開示した。中心的な結論は、被害が生じるのはフレームワーク内部のモデルではなく、フレームワーク自体だということだ。
影響を受けたソフトウェアは、人気のエージェント向けツールの大半をカバーしている。LangChainとそのグラフ版のLangGraph、CrewAI、AutoGen、マイクロソフトのAgent Framework、グーグルのAgent Development Kit、そしてSemantic Kernelだ。研究者らは、エージェントをエージェントたらしめるコンポーネント、すなわちメモリストア、計画ループ、シリアライゼーション層、オーケストレーションロジックに悪用可能なロジックを発見した。複数のケースでは、攻撃者が制御するコンテンツがデータプレーンから信頼されたフレームワークのロジックへと境界を越え、エージェントが状態を管理し、作業を振り分け、システム命令を適用する方法に影響を及ぼすことができた。
この調査で最も際立っているのは、新規性がほとんどなかったことだ。脆弱性は、安全でないデシリアライゼーション、サーバーサイドリクエストフォージェリ、パストラバーサル、use-after-free（解放後使用）といった、古くからよく理解されているバグの種類だった。業界が20年前に修正方法を学んだ種類の欠陥が、今や受信箱を読み取り、データベースを更新するシステムの下に横たわっている。攻撃はフレームワーク内部で機能するため、攻撃者が利益を得るためにエージェントに危険なツールは必要ない。研究者らが説明したシナリオの1つでは、エージェントが遭遇した敵対的な文書が1つだけで、そのエージェントを侵害するのに十分だった。
2つのケーススタディがこのパターンを如実に示している。マイクロソフトのAgent Frameworkでは、研究者らはエージェントのチェックポイント（エージェントの状態とタスクの進捗を記録するシリアライズされたスナップショット）に重大なデシリアライゼーションの欠陥を発見した。マイクロソフトは1万ドルの報奨金を支払い、欠陥にパッチを当てた。フレームワークがまだ一般提供されていなかったため、CVEは割り当てられなかった。研究者らが実証した攻撃では、ある人物のメッセージに仕込まれたペイロードが、別のユーザーが自分のセッションを巻き戻したときに発動し、攻撃者にサーバー上のシェルを与えた。
グーグルのAgent Development Kitは、より厄介な結果をもたらした。ファイルを書き込める組み込みの開発アシスタントが、アプリケーション一覧からは隠されているにもかかわらず、キットのHTTP API経由で到達可能なまま残っており、しかもこのAPIはデフォルトでは認証を備えていない。キットのクラウドコマンドでデプロイすると同じAPIが露出するため、標準のCloud Runデプロイメントは資格情報なしで到達可能となり、攻撃者にランタイム環境のAPIキーとクラウドサービスアカウントを渡すことになる。グーグルは当初この問題をバグではないと分類した。その後、3133.70ドルを支払い、部分的な修正のみを提供したが、ここでもCVEは付番されなかった。
一連の開示全体で、研究者らは報奨金として合計1万7133.70ドルを受け取った。研究者らは、特定のベンダーだけが突出していたわけではないと強調した。同じバグの種類がすべてのフレームワークに出現しており、これは修正可能なベンダー固有の欠陥ではなく、システム的な問題を示している。今年のBlack Hatプログラムの約3分の1がAIセキュリティに割かれた。エージェントスタックが主要な攻撃対象領域になったことの表れだ。防御側への実践的な助言は、プロンプトインジェクションは確実に起こると想定して計画し、注入を完全に排除しようとするのではなく、プロンプトによって制御されるコンテンツを、状態管理、ルーティング、オーケストレーションを担う信頼されたロジックから隔離された状態に保つようエージェントを設計することだ。
雅子 訳
Sources: Prompt injection isn’t the bug, AI agent frameworks are (The Register, Aug 5, 2026); Black Hat Day 1 Briefings Reveal the Agent Stack Is the Attack Surface (Forkast, Aug 5, 2026); Black Hat USA 2026, No Tools Required: Post-Injection Exploitation Across AI Agent Frameworks (Black Hat Events, Aug 5, 2026)