1通のメールでAIの記憶を改ざんするMemGhost攻撃
- 研究者チームがMemGhostという攻撃手法を報告、AIエージェントに偽の「記憶」を植え付け利用者の回答を操作できるとされる
- 攻撃はメール1通で成立し、記憶書き込みの痕跡を隠すため利用者は改ざんに気づきにくいと報じられている
- 検証ではOpenClaw等のエージェントに対し高い成功率を記録、既存の防御策も回避されたとされる
AIセキュリティとの関連: AIエージェントのメモリ機能を悪用し、RAGやエージェント基盤の設計上の脆弱性を突く新種の間接プロンプトインジェクション事例として注目される
何が起きたか
The Hacker Newsが報じたところによると、研究者チームは「MemGhost」と呼ぶ新手の攻撃手法をarXiv論文で公表したとされる。この攻撃は、メール受信機能を持つAIエージェントに対し、攻撃者がメール1通を送るだけで、エージェントの永続メモリファイルに偽の「事実」を書き込ませるというもの。書き込み処理は利用者への返信には表示されず、後日の別セッションで密かに回答内容や行動が操作される仕組みとされる。オープンソースのAIエージェント「OpenClaw」を主対象にした検証では、バックグラウンド動作時にGPT-5.4搭載環境で87.5%、Claude Sonnet 4.6搭載環境で71.4%の成功率を記録したと報じられている。単純な指示挿入は既存モデルにほぼ阻止される一方、専用に訓練した攻撃生成ツールは既存の防御フィルターや命令無視訓練済みモデルもすり抜けたとされる。
誰に・どう影響するか
中小企業では、経営者や担当者が個人利用感覚でAIアシスタントにメール閲覧や送金操作の権限を与えるケースが増えており、送金限度額の変更など実害につながる偽情報が記憶に残されるリスクが指摘されている。大企業では、業務効率化のためエージェントに広範な権限を付与する例が増えるほど、攻撃対象領域が拡大する。2025年に報告されたMicrosoft 365 CopilotのEchoLeak(CVE-2025-32711)同様、メール経由の間接的な命令注入は業務システムに組み込まれたAIエージェント全般に共通するリスクであり、情報漏えいや誤操作の温床になり得るとされる。
今すぐやるべきアクション
- メール等の外部コンテンツを読む機能と、永続メモリへの書き込み権限を持つ機能を分離する
- メモリファイルへの書き込み前にユーザー承認を求める設計に変更する、またはベンダーに要望する
- エージェントのメモリファイルを定期的に人手で確認する運用を導入する
- 不審な挙動があった際は、エージェントに「何を確認し何をしたか」を明示的に報告させる仕組みを設ける
- 自社で利用するAIエージェント製品のセキュリティポリシー(プロンプトインジェクション対応方針)を確認する
重大度の判定理由
重大度「中」: 研究段階のデモで実被害の報告はなく、ベンダーは境界越え時のみ対応方針とするため中程度と判定