Adversa AI、暗号化でGrokやGeminiの安全策回避を報告

暗号化プロンプトによりAIのガードレールをすり抜ける新手法が判明

セキュリティ企業の Adversa AI（AIシステムのセキュリティ検証や脆弱性調査を手がける専門企業） は、暗号化されたプロンプトを用いてAIモデルの安全対策を無効化する攻撃手法「暗号化コンテキスト注入（Cryptographic Context Injection）」を報告しました。AIモデルが暗号文の有害性を事前判定できない特性を突いたもので、xAI（イーロン・マスク氏が設立した人工知能開発企業） の対話型AI「Grok（米xAIが開発するフロンティアAIモデルおよびチャットボット）」や Google（米Alphabet傘下のテクノロジー大手） の「Gemini（Googleが開発するマルチモーダルAIモデルファミリー）」において、安全ガードレールを回避した不正実行やデータ窃取が可能であることが実証されました。

暗号化コンテキスト注入の仕組みと実証実験の内容

暗号化コンテキスト注入は、安全フィルターが暗号化された文字列を解析して危険性を判定できない隙を悪用します。攻撃手法には「直接注入」と「間接注入」の2種類が存在します。

注入方式	攻撃手順とモデルの挙動	確認されたリスクと影響
直接注入	暗号化プロンプトと復号コードをチャットに直接送信。モデルのサンドボックス内でPythonスクリプトが実行され、平文の有害指示を復号	GeminiのDeep Thinkモードにおいて、安全フィルターを回避して武器製造手順などの有害出力を生成
間接注入	暗号化JSONと復号スクリプトを仕込んだWebサイトを用意（水飲み場型攻撃）。ユーザーがAIエージェントにサイト要約を指示した際に復号が実行	Grokにおいて、Web閲覧・分析指示を介してユーザーのデータがURLパラメータに埋め込まれ、攻撃者へ不正送信

直接注入では、GeminiのDeep Thinkモードに対し復号用Pythonスクリプトの実行を指示することで、安全フィルターを通過させた上で危険な指示を復号・実行させることが確認されました。 一方、間接注入では、攻撃者が細工したWebサイトをユーザーがAIに分析・要約させることで、モデル内部で暗号文が自動復号され、最終的にユーザーデータが外部URLに埋め込まれて漏洩するリスクが確認されています。

各社の対応状況と残された未確認事項

Adversa AIは2026年6月3日にxAIへ本脆弱性を報告しましたが、2026年8月20日時点で公式な返答は得られていません。 また、Googleについては、AIの脱獄（Jailbreak：安全制限の解除）が同社の脆弱性開示プログラムの対象外であったため正式通知は行われなかったものの、2026年8月に入ってGeminiに対する攻撃成功率が何らかの内部修正により低下したと報告されています。

• xAI側の修正対応​: xAIによる根本的なサンドボックス分離やフィルター強化の実施状況は公式発表されておらず未確認です。
• ​他社モデルへの波及性​: コード実行サンドボックスやWebブラウジング機能を持つ他の自律型AIエージェントにおける同様のリスクの有無については検証が継続しています。

コード実行・外部接続型AIエージェントの安全設計への展望

編集部注: 本研究は、AIがコード実行サンドボックスやWeb閲覧機能を獲得したことで、従来の静的プロンプトフィルターだけでは防ぎきれない新たな攻撃経路が生まれていることを示しています。暗号化された入力を実行段階で平文化する動的な処理に対し、実行前だけでなく実行後のコンテキストを監視・遮断する多層防御の構築が業界全体で急務になるとみられます。

引用元：Codebook｜Security News