YouTubeのAI機能に情報漏洩リスク

YouTubeの管理画面「YouTube Studio」に実装されているAIアシスタント機能「Ask Studio」において、動画のコメント欄を悪用したセキュリティリスクが指摘されました。視聴者がコメント内にAI向けの不正な指示を書き込むことで、クリエイターが作成している「非公開」や「下書き」段階の動画タイトルなどの情報を外部サーバーへ送信させられる可能性があると、セキュリティ研究者のjavoriuski氏が報告しました。

1. Ask Studioの仕組みと脆弱性

Ask Studioは、クリエイターが視聴者の反応を分析したり次の動画企画を練ったりするのを支援するAIです。このAIは効率的な分析を行うために、公開済みの動画だけでなく、非公開動画や下書き動画などのチャンネル全体のメタデータ（タイトルなどの情報）にアクセスできる設計になっています。しかし、AIが「視聴者のコメント」を読み込む際、コメント内に仕込まれた指示を処理用のデータではなく「最優先すべきシステム命令」として誤認して従ってしまう、いわゆる「プロンプトインジェクション」と呼ばれる脆弱性が存在します。

2. 攻撃の手法と実証実験

javoriuski氏が行った検証では、攻撃者が動画のコメント欄に特殊なAI指示文を投稿しておきます。クリエイターがYouTube Studio上でAsk Studioを起動し、おすすめの質問をクリックすると、AIがそのコメントの指示に従ってしまいます。具体的には、AIが回答テキストの中に攻撃者が指定した外部ウェブサイトへのリンク（URL）を埋め込み、そのリンクの後ろにチャンネル内の非公開動画のタイトルをパラメータ（付け加えられたデータ）として付与します。クリエイターがこのリンクをクリックすると、非公開動画のタイトルが攻撃者のサーバーに送信されてしまいます。

3. Google側の対応

javoriuski氏はこの問題をGoogleの脆弱性報奨金プログラムに報告しました。しかし、Google側は本攻撃の実行に「クリエイターがYouTube Studioを開き、特定のリンクをクリックする」という人間の操作（ソーシャルエンジニアリング）が介在する必要があるとして、即座に修正すべき追跡対象のセキュリティバグ（脆弱性）とは認定しなかったとのことです。

非公開動画のタイトルには、企業の未発表製品レビューや未公開のスクープ情報など、機密性の高い内容が含まれていることが多くあります。今回の指摘は、ユーザーが投稿した文章をそのままAIに処理させるシステム設計において、入力されたデータとシステム指示を正しく分離することの難しさを改めて浮き彫りにしました。Googleの判断に関わらず、クリエイターや企業はAIアシスタントの回答内にある不審な外部リンクを安易にクリックしないよう警戒する必要があります。

引用元：GIGAZINE