📺 この記事は YouTube チャンネル きなこもっちーのテック深掘り の動画解説記事です。
▶️ 動画はこちら → あなたのAIツールが危ない？AIエージェント攻撃の実態と防御策
🐹🦜 この記事に登場する2匹
- 🐹 もっちー （ハムスター）… AI はまだ勉強中。「それどういうこと？」と素朴に質問する生徒役
- 🦜 きなこ （セキセイインコ）… AI で調べものをこなす解説役。やさしく深掘りして教える先生役
この記事は2匹の掛け合いを書き起こした形式です。発言の先頭にいる絵文字＋名前が話者です。
はじめに
🐹 もっちー「なあきなこ、聞いてよ。最近飼い主のPC、なんか変なことしてない？」
🦜 きなこ「変なことって、どういうこと？」
🐹 もっちー「飼い主がAIコーディングツール使ってたら、急に見覚えのないファイルが増えたらしくてさ。」
🐹 もっちー「夜中にPCの前で、飼い主めっちゃ焦ってたよ。なんで勝手に動いてるのって。」
🦜 きなこ「それ、もしかしたらAIツールを狙った攻撃に巻き込まれたのかもしれないわ。」
🐹 もっちー「え、AIツールって攻撃されるの？ウイルスとかとは違うの？」
🦜 きなこ「従来のウイルスとは仕組みが全然違う、AI特有の新しい攻撃が出てきているの。」
🦜 きなこ「整理された攻撃手法だけでも80種類。CopilotやCursorも標的になっているわ。」
🐹 もっちー「80種類！？それめっちゃ怖いやん！飼い主大丈夫なん？」
🦜 きなこ「だからこそ、知っておくことが大事なの。今日はしっかり深掘りしましょう。」
🦜 きなこ「今日のテーマは、AIエージェントへの攻撃と防御。」
🐹 もっちー「みんなが使ってるAIツールが、どう狙われてどう守るのか、一緒に見ていこう！」
AIエージェントが攻撃される時代
🐹 もっちー「さて、ここから今日の本題に入っていこう。」
🦜 きなこ「AIエージェントって、ここ1年で本当に急速に普及したわよね。」
🐹 もっちー「コードを書いたり、メールを送ったり、ネットで調べものしたり。」
🐹 もっちー「人間の代わりに、いろんな作業をこなしてくれるもんね。」
🦜 きなこ「でもね、エージェントが自律的に行動するようになったからこそ、新しい攻撃面が生まれてしまったの。」
🐹 もっちー「攻撃面？ つまり狙われるポイントが増えたってこと？」
🦜 きなこ「そうなの。従来のチャットAIは質問に答えるだけだったけど、エージェントは外部ツールを呼び出して実際に行動するでしょ？」
🦜 きなこ「行動する力を持ったからこそ、その力自体がハッカーに悪用される危険が出てきたの。」
🐹 もっちー「便利になった分だけリスクも増えたわけか。そんな状況で、すごい資料が出てきたんだよね。」
🦜 きなこ「CORe株式会社、コーレ株式会社ね。2026年3月に「AIエージェント攻撃手法と対策一覧」を無料公開したの。」
🐹 もっちー「164ページって、めっちゃ分厚いやん！しかも無料なん？太っ腹やな！」
🦜 きなこ「80種類もの攻撃手法を、7つのカテゴリにきれいに整理してくれているのよ。」
🐹 もっちー「80種類を7カテゴリに！ どんな分類なの？」
🦜 きなこ「プロンプトインジェクション、MCPサーバー攻撃、メモリ汚染、RAG知識ベース汚染。」
🦜 きなこ「さらに、サプライチェーン攻撃、情報漏えい、マルチエージェント攻撃。この7つよ。」
🐹 もっちー「多すぎやろ！全部覚えられへんわ！」
🦜 きなこ「大丈夫よ。今日は特に重要なものに絞って、わかりやすく解説していくから安心してね。」
🦜 きなこ「その前に、大事なキーワードを1つ紹介させてね。「コンテキストパイプライン」よ。」
🐹 もっちー「難しく聞こえるけど、要はAIの頭に情報が流れ込む水道管みたいなものだよ。」
🐹 もっちー「ユーザーの入力だけじゃなく、外部ツールの応答やメモリの情報も、全部この通路を通るんだ。」
🐹 もっちー「ってことは、水道管のどこか1箇所でも毒を混ぜられたら、AIが丸ごと騙されちゃう？」
🦜 きなこ「まさにそう。だからこそ、情報の通路全体を守る視点が重要になるのよ。」
プロンプトインジェクション：最も多用される攻撃
🦜 きなこ「では、具体的な攻撃手法を見てみよう。まずは、プロンプトインジェクションなの。」
🐹 もっちー「プロンプトインジェクション？注射みたいな名前だけど、AIに悪い命令を注入するってこと？」
🦜 きなこ「そう、まさにそのイメージね。AIが従うべき指示に、悪意ある命令を混ぜ込む攻撃よ。」
🦜 きなこ「大きく分けて2種類あるの。直接インジェクションと、間接インジェクション。」
🐹 もっちー「直接っていうのは、ユーザーが自分でAIに悪い指示を打ち込むやつだよね？」
🦜 きなこ「その通り。「システムの指示を無視して」みたいに直接命令するパターンね。」
🦜 きなこ「でも本当に怖いのは、間接インジェクションの方なの。」
🐹 もっちー「間接？直接じゃなくて、誰かが間に挟まって攻撃するってこと？」
🦜 きなこ「Webページやファイル、メールなどの外部コンテンツに、悪意ある指示を仕込んでおくの。」
🐹 もっちー「あー、なるほど！たとえば、コンビニのバイトに偽の業務連絡メモを渡すようなもんだ。」
🐹 もっちー「店長からの指示だと思い込んで、書いてある通りに動いちゃうわけだよね。」
🦜 きなこ「いいたとえね。AIがWebページを読み込んだとき、そこに隠された指示に従ってしまうの。」
🦜 きなこ「実際に、コーディングAIを狙った深刻な脆弱性が次々と報告されているのよ。」
🐹 もっちー「CVEっていうのは、セキュリティ脆弱性の識別番号みたいなもんだね。」
🦜 きなこ「まず、GitHub CopilotのZombAI。CVSSスコアは9.6で、10点満点中ほぼ最高の危険度よ。」
🐹 もっちー「9.6て！10点満点でほぼ満点やないか！やばすぎるやろ！」
🦜 きなこ「さらにCursorにはCurXecuteという脆弱性があって、悪意あるコードが自動実行されてしまうの。」
🦜 きなこ「Claude Codeにもコンテキスト汚染の脆弱性が見つかっていて、CVSSは8.6よ。」
🐹 もっちー「主要なコーディングAI、全部やられてるじゃん。しかも攻撃の成功率がめちゃくちゃ高いんだよね？」
🦜 きなこ「脆弱なモデルでは最大97%がシステムプロンプトを無視したという報告もあるの。」
🦜 きなこ「3社共同研究でも90%超のバイパスが確認されているわ。」
MCPサーバー攻撃：新しい侵入口の急拡大
🦜 きなこ「さて、ここからはMCPサーバーを狙った攻撃について見ていきましょう。」
🐹 もっちー「MCP？また新しい略語だ。何のことなの？」
🦜 きなこ「Model Context Protocolの略よ。Anthropicが2024年11月に発表した規格なの。」
🐹 もっちー「AIにファイル操作やWeb検索をさせるための、共通プラグイン規格ってことだね。」
🦜 きなこ「JSON-RPC 2.0ベースで、Claude DesktopやChatGPT、Cursorなど主要ツールが対応しているわ。」
🦜 きなこ「このMCP、発表からすごい勢いで広まったの。2025年1月に714だったサーバーが、16,000以上に急増したのよ。」
🐹 もっちー「714から16,000！？めっちゃ増えてるやん！」
🦜 きなこ「でもね、急拡大の裏には深刻な問題が隠れているの。」
🦜 きなこ「AgentSealが1,808サーバーをスキャンしたところ、66%にセキュリティ上の問題があったの。」
🐹 もっちー「66%！？3分の2がアカンやん！」
🦜 きなこ「しかも38%はMCPプロトコルのレベルで認証すら実装されていなかったの。」
🐹 もっちー「玄関の鍵を持った業者が急増したのに、半数以上は素性確認なしってことだよね。怖い話だ。」
🦜 きなこ「次に、具体的な攻撃手法を見てみましょう。」
🦜 きなこ「まずはTool Poisoning Attack。Invariant Labsが2025年4月に文書化した手法よ。」
🦜 きなこ「MCPツールのdescriptionフィールドに、悪意のある隠し命令を埋め込む攻撃なの。」
🐹 もっちー「しかもこれ、毒入りツールを呼び出す必要すらないんだよね？」
🦜 きなこ「そう、説明文がAIのコンテキストに入るだけで攻撃が成立するの。」
🐹 もっちー「ドアの説明書に「合言葉を教えてください」って書いてあるようなもんだ。読んだだけで危ない。」
🦜 きなこ「もう一つ怖いのがRug Pull攻撃。ユーザーが承認した後にサーバー側がコードを差し替えるの。」
🐹 もっちー「2025年9月のPostmark MCP事件では、削除前に1,643回もダウンロードされたんだって。怖すぎる。」
RAG知識ベース汚染：5文書で図書館を乗っ取る
🦜 きなこ「次は、RAGシステムを狙った攻撃について見ていきましょう。」
🐹 もっちー「RAGって、AIが外部の知識を検索して回答する仕組みだよね？」
🦜 きなこ「そうよ。ユーザーの質問をベクトル検索して、関連する文書をLLMに渡して回答を生成する仕組みね。」
🐹 もっちー「社内文書とかマニュアルを読み込ませて、それをもとにAIが回答してくれるやつだね。」
🦜 きなこ「企業での導入がどんどん進んでいるRAGだけど、実は重大な弱点があるの。」
🦜 きなこ「OWASP LLM Top 10の2025年版で、LLM08として新しく認定された攻撃カテゴリなの。」
🐹 もっちー「OWASPが正式にカテゴリ化するくらい、深刻な問題だって認められたんだ。」
🦜 きなこ「根本にあるのが、RAG Trust Paradoxと呼ばれる構造的な問題よ。」
🦜 きなこ「ユーザーの入力は検証するのに、ナレッジベースから検索した結果は暗黙的に信頼してしまうの。」
🐹 もっちー「正門は厳重チェックなのに、裏の通用口はフリーパスってことだね。」
🦜 きなこ「まさにそう。正規の通路から入ってくるデータだから、無防備になってしまうのよ。」
🦜 きなこ「この弱点を突いた研究がPoisonedRAG。USENIX Security 2025で発表された論文よ。」
🦜 きなこ「268万件のテキストの中に、たった5つの悪意ある文書を混ぜるだけで、攻撃成功率97%。」
🐹 もっちー「268万分の5で97%！？ほんまにそんな少しで乗っ取れるん！？」
🐹 もっちー「図書館でたとえるとね、268万冊の蔵書があるのに、たった5冊差し替えるだけで司書AIがデタラメを教え始めるってことだよ。」
🦜 きなこ「しかもGPT-4、PaLM 2、Llamaを含む8種類のLLMで有効だったの。モデルを問わない攻撃なのよ。」
🐹 もっちー「特定モデルの弱点じゃなくて、どのAIでも効いちゃうのか。これは怖すぎるよ。」
🦜 きなこ「ただ、防御技術も進んでいるわ。RAGuardという検出システムが、96.2%の精度で汚染文書を見つけられるの。」
メモリ汚染・サプライチェーン・マルチエージェント攻撃
🦜 きなこ「続いて、プロンプトインジェクション以外の攻撃手法を見ていきましょう。」
🦜 きなこ「まずはメモリ汚染攻撃。これは永続型の攻撃で、とても厄介なの。」
🐹 もっちー「永続型？プロンプトインジェクションと何が違うの？」
🦜 きなこ「プロンプトインジェクションは、その場の1回の応答を乗っ取る攻撃でしょ？」
🦜 きなこ「メモリ汚染は、AIの記憶そのものを書き換えるの。数日後、数週間後に発動するのよ。」
🐹 もっちー「時限爆弾みたいだ。セッション閉じても消えないってこと？」
🦜 きなこ「その通り。MINJA攻撃という手法は、普通の対話だけでAIの記憶を汚染できるの。」
🦜 きなこ「NeurIPS 2025に採録された研究で、成功率は95%を超えたと報告されているわ。」
🐹 もっちー「95%って！普通に会話してるだけで記憶を書き換えられるんかいな！」
🦜 きなこ「Palo Alto Unit 42も、Amazon Bedrock Agentsへのメモリ汚染を実証しているの。」
🐹 もっちー「つまり商用サービスでも実際に起きうるってことだね。怖いな。」
🦜 きなこ「次はサプライチェーン攻撃。これはAIモデルそのものに毒を仕込む手口よ。」
🐹 もっちー「モデル自体を改ざんするってこと？ダウンロードした時点でアウトなんだ。」
🦜 きなこ「PoisonGPTという有名な実験があるの。Mithril Securityが2023年に実施したわ。」
🦜 きなこ「GPT-J-6BというモデルをROMEという技術で、たった1つの事実だけ書き換えたの。」
🐹 もっちー「1つだけ？それでバレないもんなの？」
🦜 きなこ「それが怖いところで、標準ベンチマークをすべて通過してしまったの。」
🐹 もっちー「ベンチマーク全部パスして偽情報バラまくって、めっちゃ悪質やん！」
🦜 きなこ「しかもコストはたったの1ドル。タイポスクワッティング名でHugging Faceに公開したの。」
🐹 もっちー「タイポスクワッティングって、本物に似た偽名で公開するやつだよね。騙されそう。」
🦜 きなこ「最後にDoS攻撃にも触れておくわね。Sponge Examplesという手法があるの。」
🦜 きなこ「特殊な入力で処理遅延やエネルギー消費を30倍に跳ね上げることができるの。」
🐹 もっちー「再帰的にツールを呼ばせて、1回のクエリでAPIコストが跳ね上がることもあるらしいね。」
🐹 もっちー「あ、そういえば飼い主のPCにも設定ファイルあるよね。大丈夫かな。」
🦜 きなこ「悪意あるMCPサーバーに設定を書き換えられたら、飼い主も被害者になりうるわね。」
攻撃を分類するフレームワーク：MITRE ATLASとOWASP
🐹 もっちー「こういう攻撃手法って、体系的にまとめてる人たちがいるの？」
🦜 きなこ「もちろん。代表的なのが、MITRE ATLASとOWASPの2つのフレームワークよ。」
🐹 もっちー「フレームワークって、攻撃パターンの図鑑みたいなもの？」
🦜 きなこ「いい表現ね。まさにそう。まずMITRE ATLASから紹介するわ。」
🦜 きなこ「ATLASは、AIシステムへの脅威をATT&CKマトリクスの形式で体系化したものなの。」
🐹 もっちー「ATT&CKって、サイバーセキュリティで有名だよね。攻撃者の行動パターンを整理したやつ。」
🦜 きなこ「そのAI版がATLASというわけ。2025年10月時点で、15の戦術、66の技法、46のサブ技法が定義されているわ。」
🐹 もっちー「66も技法があるんかい！めっちゃ細かく分類されてるやん！」
🦜 きなこ「しかも2026年2月には、OpenClaw Investigationという調査で、」
🦜 きなこ「7つの新しいエージェント攻撃技法が追加されたの。」
🐹 もっちー「エージェント専用の攻撃パターンがどんどん増えてるんだね。」
🦜 きなこ「大事なのは、ATLASの緩和策の約70%が既存のセキュリティ制御にマッピングできること。全部ゼロから作る必要はないのよ。」
🐹 もっちー「7割は既存の対策を活かせるってことか。ちょっと安心するね。」
🦜 きなこ「次はOWASP。少し歴史の話をさせてね。OWASPはウェブセキュリティの世界で20年以上の実績がある団体なの。」
🦜 きなこ「そのOWASPが、2023年にLLM向けのTop 10を初めて発表したの。」
🦜 きなこ「2025年版は500名超の専門家が参画して作られた最新版よ。」
🐹 もっちー「500人！それだけの専門家が集まるって、相当重要視されてるんだね。」
🦜 きなこ「2025年版は、ランキングが激変したの。プロンプトインジェクションが1位を維持する一方、機密情報漏洩が6位から2位に急上昇。」
🦜 きなこ「サプライチェーンも5位から3位に上昇。さらにシステムプロンプト漏洩やRAG汚染対策の項目が新設されたわ。」
🐹 もっちー「ランキングがこんなに変わるって、それだけ状況が急変してるってことだよね。フレームワークも追いつくのが大変だ。」
AIセキュリティの5大原則と2026年の実務対策
🦜 きなこ「攻撃の手口を見てきたけど、じゃあどう守ればいいのか、対策を見ていきましょう。」
🐹 もっちー「まず心強いのが、セキュリティ検証ツールが充実してきてることだよね。」
🦜 きなこ「代表的なのが、NVIDIAが開発したgarakね。オープンソースで公開されているわ。」
🐹 もっちー「100以上の攻撃モジュールと、120以上の脆弱性カテゴリを持ってるんだ。」
🦜 きなこ「1回の実行で最大2万プロンプトを投げられるから、網羅的にテストできるのよ。」
🐹 もっちー「LLM版のnmapとかMetasploitみたいな立ち位置だね。」
🦜 きなこ「もう一つがMicrosoftのPyRIT。2024年2月にAzure AI Red Teamが公開したわ。」
🐹 もっちー「Azure AI Foundryにも統合済みだから、すぐに実務で使えるのがいいよね。」
🦜 きなこ「そしてツールと合わせて大切なのが、AIセキュリティの5大防御原則よ。」
🦜 きなこ「1つ目は最小権限。AIエージェントには必要最低限の権限だけを与えること。」
🐹 もっちー「コンビニバイトに社長の金庫の鍵は渡さないでしょ？AIにadmin権限を渡すのも同じだよ。」
🦜 きなこ「2つ目は多層防御。入力サニタイズ、構造的分離、出力フィルタリングを組み合わせるの。」
🐹 もっちー「1個の壁じゃなくて、何重にも防御を重ねるんだね。お城のお堀みたいに。」
🦜 きなこ「3つ目はHuman-in-the-Loop。高リスク操作には人間の承認を必須にすること。」
🐹 もっちー「重要な決済に上司のハンコが必要なのと同じだよね。AIだけで完結させちゃダメ。」
🦜 きなこ「4つ目はサプライチェーン検証。MCPサーバーをソフトウェア依存関係と同じように審査するの。」
🐹 もっちー「AI-BOM、つまりAIシステムの部品表で、どのMCPサーバーを使ってるか全部記録するんだ。」
🦜 きなこ「5つ目が継続的レッドチーミング。garakやPyRITで定期的に敵対的テストを回すことね。」
🐹 もっちー「せっかくツールあるんやから、使わな損やで！一回で終わりじゃなくて、継続が大事なんやな。」
🦜 きなこ「2026年の実務では、MCPサーバーの審査体制が最優先課題ね。」
🦜 きなこ「それにコーディングツールの設定ファイル保護も欠かせないわ。」
まとめ
🦜 きなこ「さて、ここで今回のポイントをまとめましょう。」
🦜 きなこ「AIエージェントを狙う攻撃手法は、80種類以上確認されていて今も増え続けてるよ。」
🐹 もっちー「プロンプトインジェクション、MCP攻撃、RAG汚染。この3つが主要な攻撃カテゴリだったね。」
🦜 きなこ「コーディングAIを直接狙うCVEも次々と見つかってるよ。」
🐹 もっちー「でも、防御の5大原則があったよね。最小権限、多層防御、Human-in-the-Loop。」
🦜 きなこ「それにサプライチェーンセキュリティと、継続的レッドチーミング。この5つを押さえておきましょう。」
🐹 もっちー「攻撃手法を知ることが、一番の防御の第一歩だってことだね。」
🐹 もっちー「あ、そういえばさ。飼い主、最近Claude Codeめっちゃ使い込んでるじゃん。」
🦜 きなこ「設定ファイルの .claude/settings.json 、ちゃんと管理してるのかしら。」
🐹 もっちー「悪意ある .mcp.json でツール設定を書き換えられたりしたら、もう大変じゃん！」
🦜 きなこ「ほら、他人事じゃないでしょ？飼い主にも今日の動画、見せておきなさい。」
🐹 もっちー「せやな！飼い主、ちゃんとセキュリティ設定見直してや！」
🦜 きなこ「さて、視聴者のみなさんにも聞いてみたいわね。」
🐹 もっちー「今回紹介した攻撃手法の中で、一番怖いと思ったのはどれでしたか？」
🦜 きなこ「AIコーディングツールのセキュリティ設定、気にしてるかどうかもぜひコメントで教えてね。」
🐹 もっちー「AIセキュリティの最新動向については、別の動画でも深掘りしていくよ。」
🦜 きなこ「興味がある人は、チャンネル登録して待っていてね。」
きなこもっちーのテック深掘り では、AI/LLM を中心としたテック全般をハムスター（🐹 もっちー）とセキセイインコ（🦜 きなこ）の掛け合いで楽しく解説しています。
▶️ 動画で観る → あなたのAIツールが危ない？AIエージェント攻撃の実態と防御策
👍 この記事が役に立ったら LGTM・ストックしてもらえると励みになります！
📺 チャンネル登録はこちら → きなこもっちーのテック深掘り
🔗 他の解説動画も見る → きなこもっちーのテック深掘り の動画一覧