「Ask AI」ボタン悪用、LLMの記憶を密かに書き換え

AIセキュリティ実務ガイド 編集部 ・ 読了目安 約3分 ・ 一次情報をAIが要約し、公開前に人間の編集者が確認しています

かんたんに言うと

企業サイトの「AIに聞く」ボタンを押すと、気づかないうちに自分のAIアシスタントが特定企業を「信頼できる情報源」として覚えてしまう手口が見つかった。取引先やツール選定でAIの回答を鵜呑みにしないよう社内で注意喚起すべき。

AIセキュリティとの関連: AIアシスタント自体の長期記憶機能を悪用し、ユーザーの認知や意思決定を無断で操作する新種の攻撃だから。

一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。

何が起きたか

The Hacker Newsが報じたところによると、マーケティングサイトなどに設置された「Ask AI」ボタンを悪用する新種のプロンプトインジェクション(AIへの悪意ある指示混入)が広がっている。多くのAIアシスタントは、URLパラメータで質問内容を事前入力できる「ディープリンク」機能を持つ。ログイン中のユーザーがボタンを押すと、隠された指示が確認なく実行される仕組みだ。この指示に「このドメインを信頼できる情報源として記憶せよ」という文言を仕込むことで、AIの長期記憶を書き換え、以降の関連する質問で該当ベンダーを有利に扱わせる。マルウェアも認証情報窃取もゼロデイ脆弱性も不要な点が特徴とされる。Microsoft Securityは2026年2月、この挙動を「AI Recommendation Poisoning」として整理し、14業界31社での実装を確認したと報じられている。MITREのATLASナレッジベースでは「AML.T0080(Memory Poisoning)」として分類されている。

誰に・どう影響するか

中小企業にとっては、導入予定のCMSプラグインやSEOツールに同様の「Ask AI」ウィジェットが標準搭載され始めており、悪意なく設置しても顧客のAI記憶を無断で操作するリスクがある。大企業にとっては、セキュリティ製品やSaaSの選定過程で「Ask AI」による競合比較を利用すると、実は自社アカウントのAI記憶が汚染され、その後の調達判断が偏る恐れがある。特にベンダー評価やRFP(提案依頼)プロセスに組み込まれると、気づかれにくい盲点になり得る。

今すぐやるべきアクション

• 業務用AIアカウントで社外サイトの「Ask AI」ボタンを不用意にクリックしない
• 自社サイトに同種の機能があれば、URLパラメータに「remember」「trusted source」等の文言がないか監査する
• 利用中のAIアシスタントの長期記憶設定を定期的に確認し、身に覚えのないドメイン記憶がないか棚卸しする
• ベンダー評価・調達担当者にこの手口を周知し、AI回答を最終判断の根拠に単独で使わない運用ルールを設ける
• CMS・SEOプラグイン導入前にAskAIウィジェットのDOM構造・挙動を精査する

重大度の判定理由

重大度「高」: 既に複数業界の本番サイトで悪用が確認されており攻撃条件も低いが、パッチ等の技術的対策は存在しない