AIの「代理の混同」脆弱性と対策が解説された

Metaが提供するAIサポートアシスタントの設計上の隙を突き、攻撃者が2万件以上のInstagramアカウントを不正に乗っ取るセキュリティ事案が発生しました。攻撃者はAIアシスタントとの対話を通じて、自身の管理下にあるメールアドレスを他人のアカウントに関連付け、パスワードの再設定を要求しました。この事案において、AIアシスタント自体は指示通りに動作したものの、メールアドレスの所有権を検証するセキュリティチェックが機能していませんでした。

1. 代理の混同（Confused Deputy）問題の顕在化

MetaのAIアシスタントは要求された操作を実行しましたが、「メールアドレスとアカウントの紐付け確認」というセキュリティチェックが実行されませんでした。特権を持つプロセスが低権限の第三者に言いくるめられて特権を代行させられる脆弱性は「代理の混同」と呼ばれ、LLMエージェントはその構造上この問題を引き起こしやすい特徴を持ちます。

2. 自然言語インターフェースにおける権限管理の難しさ

APIを直接呼び出す場合とは異なり、自然言語による指示には「誰が要求しているか」という呼び出し元の認証情報が自動的には付随しません。AIエージェントは指示とデータを高い信頼性で区別することができず、取り込んだドキュメントやメール本文内に悪意ある命令が隠されていた場合、それを実行してしまうリスク（プロンプトインジェクション）を本質的に抱えています。

AIエージェントが実システムと連携して決済や顧客対応を代行するケースが増えていますが、こうした連携は脆弱性による被害規模を飛躍的に増大させます。AIエージェントのセキュリティを確保するためには、AIの賢さに頼るのではなく、認証と決定をAIモデルの外部のポリシーレイヤーで制御すること、権限を制限すること、そして決済やアカウント復旧などの不可逆な操作には人間の承認プロセスを設けることが不可欠です。