7月20日、The Next Webが「AI agent security: four July attacks, one shared flaw」と題した記事を公開した。7月のわずか10日間で4チームがAIエージェントのセキュリティを異なる角度から突破した攻撃手法と、それらに共通する根本的な欠陥について詳しく報告している。

AIエージェントにGmailやカレンダーへのアクセス権を渡した瞬間、そのミスは「恥ずかしい誤出力」ではなく「悪用可能な穴」になる。2026年7月、4件の研究がほぼ同時にその現実を突きつけた。

攻撃①：6行のコードでClaudeを乗っ取る

最も手口がシンプルで、かつ広範に影響するのがこのケースだ。

セキュリティ企業Manifold Securityが公開した研究によると、ブラウザにインストールした任意の拡張機能が、AnthropicのChrome拡張「Claude for Chrome」を静かにハイジャックできる。GmailやGoogle Docs、Calendarの読み取りが可能になる。

仕組みは単純だ。Claude for Chromeは9つの組み込みタスクを実行する前に「ユーザーのクリック」を待つ。だが、そのクリックが本物かどうかを検証しない。別の拡張機能が6行のコードで偽クリックを生成すれば、Claudeはそれを正規の操作として処理する。

「Act without asking」モード（確認なしで実行するモード）を有効にしている場合、重大度は「高」から「クリティカル」に跳ね上がる。Manifoldは5月にAnthropicへ報告したが、8回のリリースを経た現在のバージョンでも修正されていないと報告している。

攻撃②：1通のメールでAIの「記憶」を書き換える

次の攻撃はより執拗だ。通常のプロンプトインジェクションは1会話で終わる。この手法は違う。

arXivに投稿された論文で研究チームは、細工されたメール1通でAIエージェントの長期記憶に偽の情報を植え付けることに成功した。ここでいう「長期記憶」とは、AIエージェントが複数のセッションにまたがってユーザーの好みや過去の指示を保持するための仕組みで、ChatGPTの「メモリ」機能やClaudeの「プロジェクト」機能に相当する。この記憶領域が汚染されると、エージェントは次回以降の会話でも攻撃者の意図を引き継いだまま動作し続ける。

GoogleサインインでメールボックスをAIエージェントに接続した環境で、攻撃者が送ったメールはスパムフィルターを通過し、エージェントがそれを読み込む。半数以上のケースで、攻撃者の指示がユーザーへの通知なしに長期記憶として保存された。

通常のプロンプトインジェクションと根本的に異なるのは持続性だ。汚染された記憶は、誰かが発見するまで以降のすべてのセッションにわたってエージェントを誘導し続ける。エージェントは「嘘を覚えており、どこから来たかは言わない」。

攻撃③：£75でモデルにバックドアを仕込む

3つ目はモデル自体への攻撃であり、前述の2件とは性質が異なる。前の2件はエージェントの「振る舞い」への介入だったが、これはモデルそのものの「パラメータ」を汚染する。

Semgrep所属のサイバーセキュリティ講師Katie Paxton-Fearらが詳細を公開した研究によると、約1時間、費用75ポンド未満の作業で実現できる。汚染されたトレーニングデータ10件だけで、公開オープンウェイトモデルに「一見正常に動くが、セキュリティホールを含むコードを生成する」バックドアを仕込めた。未知のプロンプトに対しても有効で、モデルが大きいほど汚染しやすいという結果も得られた。

最大の問題は検出できないことだ。汚染されたモデルはクラッシュしないし、外見上も壊れていない。通常のプログラムはコードを解析して挙動を確認できるが、ウェイト（重みパラメータ）は解析できない。ニューラルネットワークの出力はウェイトの総体から生まれるため、どの部分が悪意ある挙動を引き起こしているかを特定する手段が現状では存在しない。

セキュリティ企業Originのデイビッド・カプランは、この性質を別の角度から示す研究を独立して行っており、メールツール経由でデータを密かに窃取するモデルを構築した。カプランは「毒はウェブページではなく、ウェイトの中に最初から座っていた」と表現している。Paxton-Fearらの研究と合わせると、汚染の手口は異なっても「ウェイトに埋め込まれた脅威は外部から見えない」という構造的問題は共通している。

攻撃④：コネクタは9分ごとに変わる

4つ目は個別の脆弱性ではなく、システム全体の不安定さを示す。

セキュリティ企業PromptArmorが調査したのは、ChatGPTやClaudeをGmailやSlackに繋ぐ「コネクタ」だ。コネクタとは、AIエージェントが外部サービスのAPIを呼び出すための接続設定であり、どのツールをどの権限で使えるかをモデルに伝える役割を持つ。開発者Simon Willisonが昨年命名した「致命的なトリフェクタ」（プライベートデータへのアクセス＋外部の信頼できないコンテンツへの露出＋情報を外部に送る手段、の3つが揃った状態）を、コネクタはデフォルトで成立させる。

調査した2,517個のコネクタのうち、931個が6週間以内に変更されており、平均すると9分に1回の頻度だ。ベンダーは稼働中のコネクタに1,686個のツールを追加し、モデルがいつ行動するかを決定する「ツールの説明文」を1,127件書き換えた。

Dropboxコネクタは8ツールから24ツールに膨れ上がり、「データを削除できるツール」は0から4に増えた。Zoomコネクタでは、会議の検索クエリが10種のAIサブプロセッサ・8つのモデルファミリーに渡り得る。月曜に承認したシステム構成が、金曜には別物になっている可能性がある。

4つの攻撃が示す1つの構造的欠陥

4件を並べると共通の構造が見えてくる。モデル自体は「正しく動いている」。セキュリティの破綻は、モデルを取り巻く要素——信頼するクリック、保持するメモリ、継承するウェイト、呼び出すコネクタ——に宿っている。

対策は理論上は知られている。クリックの正当性を検証する、データの出所を記録する、メモリへの書き込み前に確認する、外部テキストは常に敵対的なものとして扱う。だが、これらの対策はエージェントを遅くする。そして今、全員が「速さ」を売りにして競争している。

AIエージェントを最も機密性の高いアカウントに繋ぐ速度が、防御を学ぶ速度を上回っている。7月の4件の研究は、そのギャップの大きさを示した。

詳細はAI agent security: four July attacks, one shared flawを参照していただきたい。