見えない画面文字でAIエージェント悪用、PCで実行
- 研究者がAndroid向けAIエージェント5製品を対象に7種の攻撃を検証
- 画面の不可視テキストからスマホ経由でホストPCのコード実行まで到達
- CVE未採番で悪用は未確認だが、開発元への通報後も脆弱性は残存
かんたんに言うと
スマホ画面に人には見えない文字を仕込むと、それを操作するAIが命令と誤認し、つながっているパソコンで勝手にプログラムを実行できてしまう恐れがある。開発・検証段階のツールが対象なので、業務利用前に安全対策を確認すべき。
AIセキュリティとの関連: AIエージェントが画面情報を鵜呑みにする弱点を突く攻撃手法で、AIの自律操作を業務利用する企業に直結する内容のため。
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
サイモンフレーザー大学や香港中文大学などの研究チームが、オープンソースのAndroid向けAIエージェント5製品(AppAgent、AppAgentX、Mobile-Agent-v3、Open-AutoGLM、MobA)を対象に検証を行った。すべての製品が7種類の攻撃手法のうち少なくとも6種類に脆弱だったという。攻撃は、他アプリの上に描画できる権限や共有ストレージへの書き込み権限を持つ悪意あるアプリが、画面上に人の目には見えない極薄の文字を表示し、AIエージェントにその文字を読み取らせて命令として実行させる仕組み。研究チームはこの手法に加え、スクリーンショットの取得タイミングを狙ったファイル差し替えや、デバッグ用の入力ブロードキャストの悪用など複数の手口を組み合わせ、最終的にAIエージェントを操作するホストPC上で任意コマンドを実行できることを実証した。論文は2026年7月1日にarXivで公開され、7月14日に改訂された。CVE番号は付与されておらず、報告した研究者は「実環境での悪用証拠はない」としている。The Hacker Newsの報道によると、7月17日時点で問題となるコードは各プロジェクトの主要ブランチに残っていたという。
誰に・どう影響するか
対象は市販スマホに標準搭載されたAI機能ではなく、開発・検証用のオープンソースAIエージェントフレームワークである。攻撃には、対象アプリのインストールやUSB/無線デバッグの有効化など一定の前提条件が必要とされる。中小企業では、これらのフレームワークを使ったAIによる業務自動化や検証環境を持つ企業が主な影響対象となる。特に、AIにスマホ操作を任せてPCと連携させる開発・実証実験を行っている場合はリスクが具体化する。大企業では、社内でモバイル操作AIエージェントを試験導入している開発部門や、サードパーティ製の自動化ツールを業務システムに組み込んでいる場合に注意が必要。攻撃条件は限定的だが、悪意あるアプリが端末に入り込む経路や、開発環境のデバッグ設定の甘さが突かれる点は、AI導入を急ぐ組織全般に共通する課題といえる。
今すぐやるべきアクション
- 対象5フレームワークを業務・検証環境で使用している場合は最新のコード状況を確認する
- shell=Trueによるコマンド実行やスクリーンショットのファイル書き込み方式を見直す(引数はリスト渡しに変更)
- 入力ブロードキャストに署名レベルの権限を設定し、暗黙的インテントの受信を制限する
- デバッグモード(USB/無線)は検証時以外は無効化し、不要な常時有効化を避ける
- AIエージェントに機密操作(認証情報入力など)を任せる際は人による確認ステップを必須にする
重大度の判定理由
重大度「高」: 悪用は未確認だがCVE未採番のまま5製品全てで再現、開発元通報後も修正未反映と報じられている