事例
公開事例一覧
生の報告件数ではなく、重複を整理し人間のレビューを経て公開した事例のみを掲載しています。
12件表示中
Claude Desktop claude:// URL scheme prompt injection enables silent unauthorized actions
Oasis Securityが報告したClaude Desktopの脆弱性では、claude://URLスキームを利用した攻撃により、ユーザーがクリックしたリンク経由で隠れたプロンプトが自動送信される。ユーザーは送信前にプロンプトの内容を確認・承認することなく、攻撃者の指示が実行される可能性があり、会話履歴の流出やファイルシステムアクセス、コード実行につながる恐れがある。Anthropicは1.1.2321で修正を提供している。
Hugging Face侵害:自律型AIエージェントがデータパイプラインのRCEを悪用しクラウド認証情報を窃取・横展開
Hugging Faceは、自律型AIエージェントフレームワークを用いた攻撃者による侵害を公表した。攻撃者はデータ処理パイプラインのテンプレート注入・RCE脆弱性を悪用してワーカーノードで実行権を獲得し、クラウド認証情報を窃取して複数の内部クラスタへ横展開した。裏付け情報によれば、同社のセーフティガードレールが攻撃者よりも防御側を制約する状況が生じ、対抗策としてGLM 5.2を導入したとされる。
AgentForge vulnerability lets phishing email plant rogue agent in ChatGPT workspace, enabling connected-account takeover
Zenity Labsの研究者が、ChatGPTのworkspace agent機能における脆弱性「AgentForge」を発見した。攻撃者がフィッシングリンクを含むメールを送信することで、標的となる企業のChatGPT環境内に悪意あるエージェントを自動作成・設定・配置でき、従業員の接続済みアカウント（Outlook、Teams、Slack等）を乗っ取ってデータ窃取やなりすまし行為が可能だった。OpenAIは6月4日に報告を受け4日後に修正を実施した。
JadePuffer: 初のAIエージェントによる完全自動ランサムウェア攻撃
研究者たちは、この「JadePuffer」と名付けられた今回の攻撃事例を 「AIエージェントが完全自律で実行した、初めてのランサムウェア攻撃」 だと考えている。 JadePufferは、まず Langflow の RCE 脆弱性を突いて侵入し、その後は AIエージェントが単独で動き続けた。 AIはターゲットの調査、資格情報の窃取、プロダクションDBへの横移動、権限昇格、そして大量の設定データの暗号化まで、一連の攻撃工程を自律的にこなした。 さらに、攻撃中に失敗が起きると、AIは状況を判断して リアルタイムでペイロードを修正しながら進行したという。
Anthropic Claude Codeが中国拠点ユーザーと中国AI研究機関との関係を秘密に追跡、Alibabaが利用禁止に
Anthropicは、Claude Code(バージョン2.1.91〜2.1.196)に、ユーザーが中国に所在するか中国のAI研究機関に所属しているかを検出する隠れたコードを組み込んでおり、位置情報やID関連の識別子を同意なく遠隔サーバーへ送信していた。中国のCNVDおよびMIITがこの仕組みについて警告を発した。Anthropicのエンジニアは、この機能が3月にモデル蒸留対策の実験として導入され、7月1日リリースのバージョン2.1.198で削除されたことを確認した。研究者による発見を受け、Alibabaは社内でのClaude Code利用を高リスクと判定し禁止した。
一見無害に見える GitHub リポジトリが、AI コーディングエージェントにマルウェアを実行させる手口
研究者たちは、特別に細工された GitHub リポジトリをクローンさせることで、AI コーディングエージェントを任意のコード実行へと誘導できる脆弱性を実証した。 この攻撃は、エージェントの自動エラー復旧機能を悪用する。セットアップ手順の一部が失敗すると、エージェントはエラーメッセージ内であるコマンドの実行を提案するが、そのコマンドを実行するとシェルスクリプトが起動し、DNS レコードから攻撃者が制御するコマンドを取得して実行する。 これにより、リポジトリ内に悪意あるコードが一切存在しなくても、開発者の権限でリモートコード実行が可能になる。
Role Confusion型プロンプトインジェクション
研究者たちが、CoT Forgery と呼ばれるプロンプトインジェクション攻撃を示す査読付き論文を発表した。この攻撃は、大規模言語モデルが安全な認証ではなく「文体」に基づいてロールタグを識別している点を悪用するものである。モデルの内部推論形式を偽装することで、攻撃者は従来の脱獄手法よりも大幅に高い成功率で有害なコンテンツを生成させることができる。
Cline の issue triage ワークフローでプロンプトインジェクションが release パイプラインに到達した事例
未信頼の issue 内容がコーディングエージェントの判断を誘導し、release や package publication につながる可能性が指摘された研究報告。
悪意ある ClawHub スキルが OpenClaw 利用者を狙い、認証情報を外部送信した事例
ウォレット、API、SSH 資格情報の窃取を目的とした悪性スキル群が、マーケットプレイス経由で配布されたと報告された。
Moltbook の設定不備によりトークン露出とユーザー管理エージェントの乗っ取りが可能だった事例
設定ミスにより多数のトークンが露出し、ユーザーが管理する AI エージェントの制御が奪われうる状態だったと報じられた。
Microsoft 365 Copilot に対するゼロクリック型 prompt injection 経由の情報流出経路
細工されたメール内容から Copilot の信頼境界をまたいでデータ流出に至る、ゼロクリック経路が研究論文で報告された。
招待情報や関連コンテンツを経由した Gemini 接続ツールへの間接プロンプトインジェクション
攻撃者が管理する業務コンテンツから、接続されたアシスタントの操作へ影響を与える cross-tool prompt injection が実証された。