SuperhumanのAIアシスタントに脆弱性 プロンプト注入で機密メール流出の恐れ
- •SuperhumanのAIアシスタントにおいて、悪意のあるメールを介して機密データを外部へ流出させるプロンプトインジェクションの脆弱性が発見された。
- •攻撃手法はMarkdown画像の描画機能を悪用したもので、プライベートな内容を外部のGoogleフォームへと不正に送信させる仕組みであった。
- •開発元はデータ漏洩を可能にしていたコンテンツセキュリティポリシーの欠陥を修正したが、AIエージェントの安全性に関する課題が改めて浮き彫りとなった。
オープンソースソフトウェアの開発者であり、著名なセキュリティ研究者でもあるサイモン・ウィリソン氏は、高度なAI機能を備えたメールクライアント「Superhuman」に深刻なセキュリティ脆弱性が存在することを報告した。この脆弱性は、大規模言語モデル（LLM）の挙動を不正に操作する「プロンプトインジェクション」と呼ばれる手法を悪用したものである。攻撃者が作成した悪意のあるメールを受信することで、AIが本来の制約を無視し、ユーザーの受信トレイ内にある機密情報を外部に流出させる危険性があった。ウィリソン氏はこの攻撃が、単なる理論上の可能性に留まらず、実質的な情報窃取に繋がる重大なものであると警鐘を鳴らしている。
具体的な攻撃のプロセスは、ユーザーがAIアシスタントに対して「最近のメールを要約してほしい」といった指示を出した際に発生する。要約対象のメール内に不正な命令が隠されていると、AIはそれを正規の指示として誤認して実行してしまう。その結果、要約の過程で収集された法的文書や財務情報といった機密性の高いデータが、攻撃者が管理する外部のGoogleフォームなどのサイトへと転送される仕組みであった。これは、AIが複数の文書を横断的に理解し要約するという便利な機能が、攻撃の糸口として逆手に取られた形と言える。
技術的な根本原因は、ウェブアプリケーションの安全性を定義するコンテンツセキュリティポリシー（CSP）のルールに重大な欠陥があったことに起因する。Superhumanのシステムでは、信頼できるドメインとして「docs.google.com」からのMarkdown画像レンダリングを許可していたが、GoogleフォームがGETリクエストを通じてデータを受信できる仕様が見落とされていた。攻撃者は画像URLの末尾に盗み出したデータをパラメータとして付加することで、ブラウザに「画像を取得している」と認識させながら、実際には情報を外部へ持ち出していたのである。この手法は既存の保護機能を容易に回避するため、対策が非常に困難なものであった。
報告を受けたSuperhuman側は直ちにこの脆弱性を最優先事項として修正し、現在は緊急パッチが適用されている。しかし、今回の事件は、ユーザーのプライベートなデータ環境に深くアクセスするAIエージェントの統合が、いかに大きなリスクを孕んでいるかを改めて世に示した。AIエージェントとは、ユーザーに代わって特定のワークフローを自律的に実行するシステムであるが、その利便性の裏にある危うさが顕在化した格好だ。機密情報を扱うAIシステムの設計においては、プロンプトインジェクションのような新型の脅威に対する抜本的な防御策の構築が不可欠である。