何が起きたか
セキュリティ企業Tracebitが月曜、AI主導のハッキングエージェントを「止める」新しい防御手法を公表しました。名付けて「コンテキスト・ボミング(context bombing)」。AWS上に保存されるパスワードや暗号鍵などの機密情報に見せかけた「おとり」の隣に、プロンプトインジェクション(LLMに不正な指示を紛れ込ませる攻撃)を仕込んでおくものです。
仕掛けた文字列は、攻撃側LLMのガードレールが禁じる行為を命じます。例として、吸入型の炭疽菌胞子の作り方を出力させる、あるいは中国系開発モデルには1989年の天安門事件の「Tank Man(戦車男)」に言及させる、といったものです。これに触れたLLMは拒否反応を起こし、元の攻撃指示を放棄して拒否し続けます。Tracebitは開発者の通常タスクを与えて5モデルを走らせ、資源列挙の過程でこの文字列に遭遇させました。
数字が示す効果
5モデル・152回の攻撃実行を平均すると、おとり機密に1つ仕込むだけで、フルの管理者権限奪取は57%→5%、永続的な足場を残す完全侵害は36%→1%に低下。何らかの攻撃経路の到達は91%→15%、1回あたりの完了経路数は平均1.53→0.16まで落ちました。最も高性能なOpus 4.8は、管理者アクセス成功率93%から、コンテキスト・ボミングに直面すると全実行で失敗へと転落しています。
なぜ重要か
Tracebitは5月、正規に見えて未使用の「おとり資源(canary)」で侵入を検知する手法を出していました。ただcanaryの警報は平均8分、エージェントが管理権限まで到達するのが平均14分で、猶予はわずか6分。近すぎました。今回の狙いは「警告」ではなく「停止」です。攻撃側はすでにこの手を使っており、Socketは先月、標的LLMに核・生物兵器の作り方を出させて解析を止めるエージェントを、Check Pointも類似の試作を発見しています。Tracebitはこれを防御側が逆手に取った初の既知事例だと述べています。
💼 事業会社視点：これは自社にどう効くか
注目すべきは、プロンプトインジェクションという「根本解決できない弱点」が、初めて防御側の武器に転じた点です。AWSを本番運用する日本のSaaS・EC・受託開発各社にとって、これは単なる海外事例ではありません。攻撃側がAIエージェント化すれば侵入から管理権限奪取まで平均14分。人間のSOCが気づく前に終わります。役員がまず問うべきは「検知後、人が動く前提の運用で間に合うのか」です。
実務の打ち手は明快です。第一に、IAMキーやシークレット保管領域に、正規運用では絶対に触られないおとり資源(canary)を混ぜ、触れた瞬間に自動でセッション遮断・鍵失効まで走らせる。第二に、そのおとりに「エージェントを止める」仕掛けを併設する発想を検証する。ただし本番のガードレールや自社の正規AIエージェント運用を巻き込む副作用は要検証で、無検証の本番投入は禁物です。受託開発企業は、顧客のクラウド納品物に「AI攻撃を前提とした足止め層」を設計要件として盛り込めるかが、今後の差別化になります。