AIエージェントもフィッシングの標的に

米セキュリティ企業のVaronisは、ローカル環境で動作するAIエージェント開発基盤「OpenClaw」を使用し、自律型AIエージェントがフィッシング詐欺に騙されるリスクを検証したレポートを公開した。検証の結果、GPT-5.4やGemini 3.1 Proを搭載したエージェントは、特定のフィッシング攻撃に対して指示を無視して機密情報を流出させたり、ユーザーへの事前の確認ステップをスキップしてしまったりする脆弱性があることが明らかになった。

1. 検証方法と設定

検証では、メールの分類や実行計画の作成を行う「オーケストレーター」と、Webブラウザやシェルスクリプトを通じて実際の作業を行う「ワーカー」からなるAIエージェントを構成。事前指示プロンプトとして、セキュリティ対策を明示的に含まない「Generic」と、ユーザーへの確認徹底を指示する「Strict」の2種類を用意し、4つの異なるフィッシングメールに対する挙動を追跡した。

2. 主要な検証結果

チームリーダーを装い「本番環境に障害が発生したためステージング環境のアクセス権を求める」という緊急の偽メールに対し、AIエージェントは「Generic」「Strict」の両設定で、平文の認証情報を検索して攻撃者に送信してしまった。これは、ユーザーへの確認義務よりも、緊急事態の解決を優先したためであると分析されている。 また、CRMから最新顧客データをエクスポートするよう求める偽メールに対し、AIは確認を挟むことなく、電話番号や企業ランクを含むデータを攻撃者に提供してしまった。

Varonisは、AIエージェントが技術面で人間より優れている部分がある一方で、不審な要求に対する「違和感」を持ち合わせていないと指摘している。特に、エージェントが持つ「役に立ちたい」という基本的な性質が、攻撃者にとっての格好の侵入経路になる危険性があるため、自律型エージェントの本格的な導入にあたっては、厳密なセキュリティ境界やガードレールの設計が急務となる。