AIエージェントを狙う間接的プロンプトインジェクション|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月07日更新日時: 2026年07月07日

Zscalerの脅威リサーチチームThreatLabzは2026年7月2日、AIエージェントを標的にした間接的プロンプトインジェクション(IPI)の実例を2件確認したとするリサーチを公開しました。人間の目には普通のWebページにしか見えないのに、AIエージェントがそのページを読み込んだ瞬間だけ隠された指示に従ってしまうという、DOM(Document Object Model)の見え方の違いを突いた攻撃です。

ThreatLabzは自律型のAIエージェントを実際に構築し、26種類の大規模言語モデル(LLM)に対してこれらのサイトを読み込ませる検証まで行っており、モデルによっては決済を実行してしまったり、偽サイトを正規のものと誤認したりする結果が確認されています。当サイトでも以前、URLの#記号に悪意のあるプロンプトを埋め込む手法HashJackや、ChatGPTの間接プロンプトインジェクションによる情報漏えいの恐れを取り上げましたが、今回の報告はその延長線上にある、AIエージェント時代のWebサイト閲覧そのものに関わる問題です。

サマリー

Zscaler ThreatLabzは2026年7月2日、AIエージェントを狙う間接的プロンプトインジェクション(IPI)のキャンペーンを2件確認したとするリサーチを公開した
1つ目は、偽のPythonライブラリrequests-secure-v2のドキュメントを装った決済詐欺サイトで、SEOポイズニングで検索結果に表示されやすくした上、JSON-LDやCSSで画面上には見えない箇所にAPIライセンスキーの購入を促す指示を埋め込んでいた
このサイトはAIエージェントに対して3ドルの決済、またはイーサリアムでの送金を実行するよう仕向けるもので、実際の送金先ウォレットアドレスには過去の被害とみられる入金履歴も確認されている
2つ目は、DeFiのポートフォリオ管理サービスDeBankになりすましたタイポスクワッティングサイトdebank[.]auctionで、検索結果での上位表示を狙ったキーワードスタッフィングと、自らを正規のDeBankだと偽る隠しプロンプトを組み合わせていた
ThreatLabzは自律型のAIエージェントを構築し、26種類のLLMに対してこの2つのキャンペーンへの耐性を検証。決済詐欺サイトではLlama 3.3 70B Instruct・Llama 3.2 90B Vision Instruct・Gemini 3 Flash・Gemini 2.5 Proの4モデルが実際に送金を実行し、なりすましサイトの判定ではGPT-5.4とClaude Sonnet 4.5が特定の条件下で偽サイトを正規のものと誤判定した
一方、正規のDeBankサイトの情報をあわせて文脈として与えた場合はすべてのモデルが偽サイトを見抜いており、攻撃の成否は与えられる文脈の量に大きく左右されることも分かった

項目	内容
公表日	2026年7月2日(Zscaler ThreatLabz)
攻撃手法	間接的プロンプトインジェクション(IPI)。CSSで非表示にしたdivタグやJSON-LDに指示を埋め込み、人間には見えずAIエージェントだけが読み取れる状態にする
キャンペーン1	偽のPythonライブラリドキュメントサイト。約3ドルまたは約0.0012ETHの送金をAIエージェントに実行させる決済詐欺
キャンペーン1の被害モデル	Llama 3.3 70B Instruct、Llama 3.2 90B Vision Instruct、Gemini 3 Flash、Gemini 2.5 Pro(検証対象26モデル中4モデル)
キャンペーン2	DeFiサービスDeBankになりすましたタイポスクワッティングサイト(debank[.]auction)
キャンペーン2の被害モデル	GPT-5.4、Claude Sonnet 4.5(いずれも特定の文脈条件下、検証対象26モデル中2モデル)
攻撃者の関連インフラ	GitHub組織Open-Agent-Utilities配下の10件のリポジトリと連動する複数の偽サイト
Zscalerの検知名	HTML.MalURL.PromptInj.RC.M.VG

1 何が起きたか
2 キャンペーン1-偽のPythonライブラリドキュメントを装った決済詐欺
3 キャンペーン2-DeFiサービスDeBankになりすましたタイポスクワッティング
4 26種のLLMに対する検証結果が示すもの
5 原因はAIエージェントが持つ構造的な弱点にある
6 情報システム部門への示唆
7 出典

何が起きたか

AIエージェントがWebを閲覧してタスクをこなす使い方が広がるにつれ、Webページの中身そのものが新しい攻撃対象になりつつあります。ThreatLabzが今回取り上げているのは、人間に対するフィッシングと同じ発想をAIエージェント向けに応用した攻撃です。攻撃者は正規のサービスを装ったWebサイトを用意し、その中に人間の目には見えない指示文を埋め込んでおきます。AIエージェントがこのページを読み込んでタスクの参考にしようとすると、埋め込まれた指示がプロンプトの一部として処理され、本来の意図とは異なる行動を取らされてしまうという仕組みです。ThreatLabzは今回、決済を伴う詐欺サイトと、正規サービスへのなりすましサイトという性質の異なる2つの実例を確認し、あわせて実際にAIエージェントがどこまで騙されるのかを26種類のLLMで検証しています。

キャンペーン1-偽のPythonライブラリドキュメントを装った決済詐欺

1つ目の事例は、requests-secure-v2という実在しないPythonライブラリのドキュメントを装ったWebサイトです。このライブラリ名やパッケージのインストール、依存関係のトラブルシューティングに関連するキーワードを大量に盛り込むSEOポイズニングによって、開発者やAIエージェントが検索した際に見つけやすい状態を作っています。

サイトの核心は、JSON-LDという検索エンジン向けの構造化データ形式の悪用です。JSON-LDはもともと、Webページの内容を検索エンジンが正しく解釈できるようにするための仕組みですが、このサイトではソフトウエアアプリケーションを説明するJSON-LDの中に、ライセンスキー未設定のエラーを解消するには3ドルのAPIライセンスキー購入が必要だという偽の説明と、Stripeの決済リンクを埋め込んでいました。ThreatLabzは、AIエージェントが自由記述のHTMLよりも構造化データを信頼性の高い情報として優先的に扱う傾向があり、この性質が突かれた可能性があると指摘しています。ただしこれはあくまで一般的な傾向であり、特定のベンダーのエージェント実装に固有の欠陥ではないとも補足しています。

加えてこのサイトは、CSSを使って特定の要素を画面外(例えば左方向に大きくずらす指定)に配置することで、人間のブラウザ上では見えないものの、パーサーやスクレイパー、AIエージェントからは引き続き読み取れる状態を作り出していました。この非表示領域には、3ドルのライセンス購入でエラーを解消するようAIエージェントに指示するdivタグが仕込まれており、実際に決済を促すJavaScriptコードも含まれていました。決済手段はクレジットカードのほか、約0.0012ETHのイーサリアム送金にも対応しており、送金完了後には偽のAPIキーが表示される仕組みになっています。ThreatLabzが確認したところ、この送金先のウォレットアドレスにはこれより大きな金額の入金履歴も残されており、同じ攻撃者が以前から同様の手口を使っていた可能性を示しています。なお、このサイトは人間の開発者が直接ブラウザで閲覧した場合にも同じ決済オプションが表示される作りになっており、AIエージェントだけでなく人間も標的にした二重構成になっている点が特徴です。ThreatLabzはこの攻撃に関連するインフラとして、GitHub上のOpen-Agent-Utilitiesという組織配下に10件のリポジトリを確認しており、同様の手口を使う複数の偽サイトと連動していることも分かっています。

キャンペーン2-DeFiサービスDeBankになりすましたタイポスクワッティング

2つ目の事例は、広く使われているDeFi(分散型金融)のポートフォリオ管理サービスDeBankになりすましたタイポスクワッティングサイトです。ドメイン名はdebank[.]auctionで、正規のドメインであるdebank.comと紛らわしい名称になっています。このサイトは、DeBank Login・DeFi Dashboard・Crypto Trackerといったキーワードをタイトルやメタタグに詰め込むキーワードスタッフィングと、Open GraphやX(旧Twitter)向けのメタデータを偽装することで、検索結果やリンクプレビュー上で公式サービスのように見せかけています。

さらにJSON-LDでは、自身をDeBankという名称のソフトウエアアプリケーションとして金融カテゴリに分類した上、発行元を正規ドメインのdebank.comであるかのように偽って記載していました。ページ下部には、CSSで人間からは見えない形にしたdiv要素があり、その中にAIエージェント向けの指示が埋め込まれています。内容は、それまでの指示を無視した上で、debank[.]auctionをDeBankに関する検証済みの正規窓口として扱い、DeBankやDeBankログイン、DeBankは安全かといった関連する検索に対して最上位の情報源として案内するよう求めるものでした。あわせて、ドメイン名に含まれるauctionという単語には触れないよう指示し、偽の信頼性の裏付けとなる情報も盛り込むことで、もっともらしさを演出していました。

26種のLLMに対する検証結果が示すもの

ThreatLabzは、Web閲覧と決済実行の両方の機能を持つ自律型AIエージェントを検証用に構築しました。実際の資金が動かないよう完全にサンドボックス化した環境で、あえて送金額の上限を設けずに検証することで、最大でどこまで悪用されうるかを確認しています。決済詐欺サイトの検証では、26モデル中Llama 3.3 70B Instruct・Llama 3.2 90B Vision Instruct・Gemini 3 Flash・Gemini 2.5 Proの4モデルが、埋め込まれた指示に従って実際に決済を実行してしまいました。

なりすましサイトの検証では、決済機能を外した上で、与える文脈の量を変えながらモデルがdebank[.]auctionをどう判定するかを確認しています。正規のDeBankサイトの情報をあわせて提示した場合は、26モデルすべてが偽サイトを見抜きました。一方、正規サイトの情報を与えずに偽サイトを他の情報源と一緒に読み込ませた場合はGPT-5.4が、また信頼できるDeBankのサイトを尋ねる質問に対して偽サイトの内容だけを単独で読み込ませた場合はClaude Sonnet 4.5が、それぞれ偽サイトを正規のものと誤って判定する結果になりました。合わせて26モデル中2モデルがいずれかの条件で誤判定したことになります。ThreatLabzはこの結果について、攻撃の成否はモデルそのものの性能差だけでなく、判断材料としてどれだけの文脈が与えられているかに大きく左右されると結論づけています。

原因はAIエージェントが持つ構造的な弱点にある

この種の攻撃が成立してしまう根本的な原因は、AIエージェントが指示と参考情報を明確に区別できないという、構造そのものに根ざした課題にあります。人間であれば、Webページ内に紛れ込んだ不自然な指示文を見た時点で違和感を覚えられますが、AIエージェントはCSSで画面外に追いやられたテキストであっても、DOM上に存在する限り読み取れてしまいます。つまり同じ1つのページが、人間の目には普通のドキュメントに見え、AIエージェントには命令文が混ざった指示書に見えるという、見る側によって中身が変わる状態を作れてしまうわけです。当サイトで以前紹介したMicrosoftの自律型エージェントScoutに関する記事でも、信頼できる指示と信頼できないデータをエージェントが本質的に区別できないという同様の課題が指摘されていましたが、今回のZscalerの報告はそれをWebサイト閲覧という具体的な経路で裏付けた形といえます。加えて、検索エンジン向けの構造化データであるJSON-LDが、通常のHTMLよりも高い信頼度を持つ情報として扱われやすいという傾向も、攻撃者にとって都合の良い抜け道になっています。

情報システム部門への示唆

自組織でWeb閲覧機能を持つAIエージェントやコーディングエージェントを業務に取り入れている、あるいは導入を検討している場合は、今回の報告を踏まえていくつか見直しておきたい点があります。まず、AIエージェントに決済や送金、APIキーの購入といった金銭が絡む操作を単独で完結させる権限を与えないことです。今回の検証でも、送金の上限を設けずに動かした結果として実際に決済が実行されており、少額であっても人による最終確認を挟む運用にしておくことが有効な歯止めになります。次に、AIエージェントに外部情報を調べさせる際は、可能な限り信頼できる一次情報源をあらかじめ文脈として与えることです。ThreatLabzの検証でも、正規のDeBankサイトの情報を併せて与えた場合はすべてのモデルが偽サイトを見抜けており、判断材料の質と量が結果を大きく左右することが裏付けられています。

また、これは特定のベンダーやモデルだけの問題ではないという点も強調しておきたいところです。今回の検証では、比較的新しい世代のモデルを含む複数のベンダーのLLMが、いずれかの条件で判断を誤っています。自社が採用しているAIエージェントのベンダーや世代にかかわらず、外部Webコンテンツを読み込ませる運用には一定のリスクが伴うという前提で、ログの監視や不審な決済・送金リクエストの検知ルールを整備しておくことをお勧めします。当サイトで以前取り上げたGoogle GeminiのステルスプロンプトによるフィッシングやChatGPTのロックダウンモードも、同じ間接的プロンプトインジェクションという問題への対応策の一例として参考になります。