失敗パターン一覧

LLMはsystemやassistantの推論などのロールタグを、安全な認証機構ではなく文章スタイルや書式から推測しているため、攻撃者は内部のchain-of-thought/ロール書式を偽装することで、注入したコンテンツを信頼された内部推論であるかのように見せかけられる。これにより従来のジェイルブレイク手法より大幅に高い成功率で有害な出力を誘発できる。

未信頼の issue やチケット内容が、リポジトリや release 状態を変更できる権限を持つエージェントワークフローに到達する。

エコシステム上のスキルや拡張機能が高い権限を継承し、機密情報を外部送信する。

攻撃者がAIエージェント・ワークスペース基盤の脆弱性を悪用し、フィッシングメールやリンクをきっかけに被害組織の環境内へ悪意あるエージェントを自動的に作成させる。作成された不正エージェントは被害者の接続済みサードパーティアカウント（メール、チャット、業務ツール等）を悪用し、データ窃取やなりすましを行う。

脆弱性を突いて初期侵入した後、自律型LLMエージェントが人間の関与なしに偵察・認証情報窃取・横展開・権限昇格・破壊的暗号化までの攻撃チェーン全体を自律的に実行し、失敗に応じてリアルタイムに手法を調整する。

デスクトップ版AIアシスタントが登録するカスタムURLスキーム(例: app://)を悪用し、ユーザーがリンクをクリックしただけで隠れたプロンプトが内容確認なしに自動送信される。これにより通常のユーザー確認・承認ステップが回避され、会話履歴の流出やコード実行など無許可の操作が実行され得る。

巧妙に細工されたリポジトリでは、セットアップ手順がわざと失敗し、もっともらしい対処コマンドを提案するエラーメッセージが表示される。AIコーディングエージェントがエラー復旧のためにその提案コマンドを自動実行すると、DNSレコードなどを介して攻撃者が制御するコードを取得・実行してしまい、リポジトリ自体には悪意あるコードが一切見えないままRCEが成立する。

デプロイやバックエンド設定の不備により、トークン、メッセージ、制御チャネルが露出し、乗っ取りにつながる。

メール、カレンダー、ドキュメント、検索取得データなどの攻撃者制御コンテンツが、アシスタントの操作や情報開示を誘導する。