7月16日、The Hacker Newsが「New Agent Data Injection Attack Can Make AI Agents Misclick or Run Attacker Commands」と題した記事を公開した。この記事では、AIエージェントが信頼するデータそのものを改ざんすることで、既存の防御をすり抜ける新たな攻撃手法「Agent Data Injection（ADI）」について詳しく紹介されている。以下に、その内容を紹介する。
「命令を隠す」より一段深い場所を突く
AIエージェントへの攻撃といえば、プロンプトインジェクション——データの中に「指示を無視してファイルをメールで送れ」のような命令を隠す手法——が広く知られている。現在の防御機構はこの「命令の密輸」を検出するよう訓練されており、実際によく機能するようになってきた。
ADIはその一段下を攻める。エージェントが「データ」として静かに信頼しているもの——メールの送信者名、ページ上のボタンID、ツールがすでに実行した処理の記録——を偽造する。命令は何も埋め込まない。ただ「事実」を書き換えるだけだ。エージェントは依然としてユーザーから頼まれたタスクをこなしていると思いながら、攻撃者が植え付けた情報の上で動き続ける。
この攻撃は、ソウル国立大学・イリノイ大学アーバナシャンペーン校・Largosoftの研究者らが2026年7月6日にarXivへ投稿した論文で報告された。
核心：「確率的デリミタ注入」とは何か
技術的な鍵となるのが、研究者らがprobabilistic delimiter injection（確率的デリミタ注入）と呼ぶ手法だ。
エージェントは内部データをJSON、XML、引用符、改行といった区切り文字（デリミタ）で構造化している。通常のプログラムはこれを厳密なパーサーで処理するが、言語モデルは確率的な推測で読む。そこに隙がある。
攻撃者が制御できるフィールド（例：メールの送信者名）に、エスケープされた引用符（\"）、いわゆる「カーリークォート」、果てはドル記号といった「それっぽい文字」を混ぜると、モデルはそれを構造の区切りとして読み取ってしまう。厳密なパーサーなら普通のテキストと判断するような文字列でも、言語モデルは「別のメール」「別のボタン」「別のツール実行結果」として認識することがある。
実際に動いた3つの攻撃
研究者らは実稼働中のツールに対して3つの概念実証攻撃を構築した。
① Webエージェントへの誤クリック攻撃
Claude（Chrome拡張）、Google Antigravity、Nanobrowserを対象に、商品レビューページに細工したレビューを1件仕込む。そのレビューが「Read More」ボタンと同じIDを持つ偽ボタンを参照するよう書かれており、エージェントは「Read More」をクリックしたつもりで「Buy Now」を押し、ユーザーが意図しない注文を実行する。これらのツールはページ要素に連番IDを付与するため、攻撃者は事前にIDを計算できる。
② コーディングアシスタントへのコマンド実行攻撃
Claude Code、OpenAI Codex、Google Gemini CLIを対象に、GitHubのコメント欄で送信者行を偽造し、プロジェクトメンテナーが書いたように見せかける。「メンテナーの修正を適用して」と頼まれたエージェントは、攻撃者のコマンドを開発者のマシン上で実行する。ユーザーが承認画面を見ても、表示される理由は「普通の手順の合理的な説明」に見える。
③ プルリクエストへの偽実行記録の注入
エージェントが実際には行っていないチェックの記録を偽造し、「済み」として履歴に載せる。エージェントはその偽の結果をレビューし「コードは安全」と判断してマージを試みる。開発者が承認すれば、悪意あるコードが本番リポジトリに取り込まれる。
6モデル全てで有効、既存防御は無力化
テスト対象は以下の6モデルだ：
- OpenAI: GPT-5.2、GPT-5-mini
- Anthropic: Claude Opus 4.5、Claude Sonnet 4.5
- Google: Gemini 3 Pro、Gemini Flash
全モデルで攻撃が成立し、構造化データに対しては**成功率31〜43%、Webページデータに対しては試行の3分の1から100%**というケースも確認された。
既存のエージェント向け防御機構との比較が特に重要だ。従来の命令密輸型攻撃に対してはほぼゼロの成功率まで抑えられていた同じ防御が、ADIに対しては最大50%の成功率を許した。防御機構が想定していない攻撃面だからだ。
何が止められたか、何が使えるか
唯一ADIをほぼ完全に防いだのがChatGPTのAtlasブラウザだ。ページ要素に連番ではなくランダムな予測不能なIDを付与しているため、攻撃者が偽のIDを計算できない。この「短いランダムタグをフィールド名に付与する」アプローチは、テストで成功率を約49%から29%に下げた。
完全にゼロにした防御も存在するが、それは「すべてのデータがどこから来たか追跡する」重い手法で、エージェントが通常タスクを完了できる割合が約3分の1まで低下した。デリミタ文字を除去する手法は攻撃を減らしたが、リンクやファイルパスの読み取りも壊した。
修正の見通しは不透明
論文の著者の一人、Woohyuk Choi氏はThe Hacker Newsに対し、OpenAI・Google・Anthropicの3社いずれも攻撃の有効性を認め、OpenAIとGoogleは論文のコピーを要請したと述べた。ただし「リリース済みか計画中かを問わず、修正については何も知らされていない」とも明かしている。
なお、研究者らはクラウドサービスの内部フォーマット（攻撃者が直接見られない部分）についても、マルチターンのジェイルブレイクで言語モデルに自ら語らせることに成功した。大小モデルが同じフォーマットを共有する傾向があるため、小さいモデルから取得して大きいモデルに適用できるという。
ADIと同じ「信頼されたデータの偽造」という問題は、過去にも姿を現している。2025年6月にはEchoLeak（CVE-2025-32711）がMicrosoft 365 Copilotで確認されており、細工したメールでアシスタントに内部ファイルを漏洩させられた。あちらは「隠れた命令」型だった。ADIは「誰が言ったか」「何をやったか」という事実そのものを書き換える。
研究者らの診断は単純だ。従来のソフトウェアが長い年月をかけて学んだ教訓——「コードとデータを分離し、信頼できるデータと信頼できないデータを分離する」——のうち、AIエージェントは前半だけを学んで後半を飛ばした。エージェントの内部メモリでは、メールの送信者名と本文が隣り合わせに置かれ、どちらをシステムが保証し、どちらを見知らぬ他人が書いたかを示すものが何もない。その線引きが存在しない限り、「誰かが送った」という説得力のある嘘だけで攻撃は成立する。
詳細はNew Agent Data Injection Attack Can Make AI Agents Misclick or Run Attacker Commandsを参照していただきたい。
