Web-Based Indirect Prompt Injection Observed in the Wild
Unit 42 researchers have identified the first real-world case of indirect prompt injection targeting an AI agent via web content. The attack exploits how AI agents process untrusted web data, potentially leading to data theft, privilege escalation, or unauthorized actions. This discovery highlights the growing security risks as AI agents become more autonomous and integrated into enterprise workflows.
背景メモ
- Palo Alto Networksの脅威インテリジェンス部門Unit 42が、AIエージェント（自律的にタスクを実行するLLMベースのシステム）に対する「間接的プロンプトインジェクション」攻撃が実際に確認されたと報告した。<br>- 同攻撃は、AIエージェントがアクセスするWebページや外部データソースに悪意ある指示（プロンプト）を埋め込み、本来のユーザー指示を乗っ取る手法。従来のユーザー入力からの直接インジェクションとは異なり、AIが自動取得する情報経由で攻撃する点が新しい。<br>- Unit 42の研究者らは、2024年末から2025年初頭にかけて、この手法を用いた実攻撃事例を観測。標的は企業で利用されるカスタマーサポート用AIエージェントなどだった。<br>- 背景として、企業がAIエージェントにWeb検索や外部API連携などの「ツール使用」権限を与えるケースが急増。これにより攻撃経路が拡大し、従来のLLMセキュリティ対策では防ぎきれない新たな脅威が現実化している。