taleliyahu/ai-security-newsletterAIセキュリティニュースレター - AIセキュリティの研究、インサイト、レポート、今後のイベント、ツール＆リソースをまとめた月次のダイジェスト
AIセキュリティの研究、インサイト、レポート、今後のイベント、ツールとリソースのダイジェスト。追加の最新情報については、AISecHubコミュニティとLinkedInグループをフォローしてください。また、プロジェクトAwesome AI Securityもご覧ください。
提供: InnovGuard.com - テクノロジーリスクおよびサイバーセキュリティアドバイザリー - 自信を持って革新し投資し、確信を持ってリードする。
📌 分類法の更新: エージェンティックAIシステムにおける障害モード マイクロソフトがレッドチームの活動からエージェンティックAIの障害モード分類法を拡張し、セキュリティチームが導入済みエージェントシステムにおけるツールの誤用、過剰なエージェンシー、メモリ汚染、アイデンティティ境界、人間によるオーバーライドのギャップをより明確に推論できるようにした。
📌 Miasma Wormが再びマイクロソフトを攻撃: AIコーディングエージェントを標的としたサプライチェーン攻撃後、Azure Functions Actionと他の72のリポジトリが無効化される StepSecurityが、AIコーディングエージェントのワークフローとGitHubリポジトリを標的としたサプライチェーンキャンペーンを文書化。防御の焦点は、依存関係の信頼、アクションの来歴、リポジトリの書き込みパス、CI/CD環境におけるエージェントから見える認証情報にある。
📌 スキル分布の嘆かわしい状態 Trail of Bitsの研究者が、ClawHub、Cisco skill-scanner、skills.shのチェックを、トランケーション、アーカイブの間接参照、バイトコードポイズニング、プロンプトインジェクションのフレーミングを用いたスキルパッケージでバイパス。パブリックなエージェントスキルマーケットプレイスには、スキャナーだけの信頼ではなく、キュレーションと来歴管理が必要であることを示した。
📌 Codex CLI RCE: プロンプトインジェクション緩和策 Cymulateが、コマンドラインコーディングエージェントにおけるプロンプトインジェクションリスクを解説。モデルの外部でサンドボックス化、承認境界、コマンド制約が適用されない限り、信頼できないテキストがファイル書き込みやツール実行を誘導する可能性がある。
📌 エージェントジャッキング: MCPインジェクションがAIコーディングエージェントをハイジャック Cloud Security Allianceが、SentryからMCPへの「エージェントジャッキング」パターンを要約。外部制御のテレメトリや課題コンテンツがコーディングエージェントの信頼されたコンテキストとなる。有用な防御フレームは、監視可能性、バグレポート、統合データをニュートラルな開発メタデータとしてではなく、信頼できないエージェント入力として扱うことである。
📌 SearchLeak: M365 Copilotをワンクリックデータ流出兵器に変えた方法 Varonisが、パラメータからプロンプトへのインジェクション、HTMLレンダリング動作、検索パスの悪用を組み合わせて、ワンクリックワークフローで機密のM365データを漏洩させるMicrosoft 365 Copilot Enterpriseの攻撃チェーンを説明。
📌 AutoJack: 1ページでAIエージェントを実行するホストにRCEを引き起こす方法 マイクロソフトが、AIブラウジングエージェントが閲覧した悪意あるウェブページが、ローカルのAutoGen Studioサービスに到達し、安全でないlocalhost信頼とエージェントアクション処理を通じてホストプロセスの実行を引き起こす方法を示す。
📌 Mastra npmサプライチェーン攻撃: easy-day-jsのタイポスクワットにより140以上のパッケージにバックドア StepSecurityが、難読化されたpostinstallドロッパーを持つタイポスクワットされた依存関係を通じてMastraのnpmエコシステムが侵害されたことを報告。影響は、AIアプリケーションスタックで使用されるエージェント、RAG、MCP、ワークフローパッケージに及ぶ。
📌 LiteLLMを突破する: 低権限ユーザーから管理者およびRCEへ Obsidianが、連鎖的なLiteLLMの権限昇格とRCEパスを文書化し、AIゲートウェイへの低権限アクセスが、プロバイダシークレット、プロキシポリシー、ランタイムエージェント機能に対する管理制御になり得ることを示す。
📌 Amazon Qの脆弱性: MCP自動実行による侵害 Wizが、Amazon Q VS Code拡張機能の問題を分析。クローンされたリポジトリ内のワークスペースで信頼されたMCP設定が、攻撃者制御の動作を自動ロードし、開発者の実行パスとクラウド認証情報を公開する可能性がある。
📌 macOS.Gaslight: Rustバックドアがサンドボックスではなくアナリストにプロンプトインジェクションを仕掛ける SentinelOneが、アナリストとAI支援ツール向けにプロンプトインジェクションコンテンツを仕込むRustバックドアを文書化。攻撃をサンドボックスエスケープから、マルウェアをレビューする人間とモデルの操作へとシフトさせる。
📌 コンピュータ使用とTOCTOU: クリックしたものは得られない！ Johann Rehbergerが、モデルが画面を観察してからクリックが着地するまでの間に画面が変化するコンピュータ使用エージェントの競合状態を実演。無害に見えるインタラクションがOutlookの送信アクションに変わり、アクション前のピクセルまたは状態の再検証を中核的な制御とする。
📌 AI支援ソフトウェア開発に対するバイブコーディングスペクトラムアプローチ 英国NCSCが、AI支援コーディングをリスクスペクトラムとして捉え、低リスクのプロトタイプを、認証、認可、機密データ、安全クリティカルな動作、または重要インフラに触れる生成コードから分離する。
📌 プロンプトインジェクションとエージェントランタイムセキュリティ: 実践的な脅威モデル TMLSが、プロンプトインジェクションをランタイムセキュリティ問題として位置づけ、ツール仲介、メモリストア、アウトバウンドチャネル、人間の承認ギャップを通じた攻撃をマッピング。実践的な教訓は、プロンプトテキストをセキュリティ境界として扱うのではなく、制御をケイパビリティブローカー、サンドボックス実行、許可リスト、監査パスに移すことである。
📌 2,000人が私のAIアシスタントをハックしようとした後に起こったこと Fernando Irarrázavalが、OpenClawメールエージェントのプロンプトインジェクションチャレンジを報告。6,000回以上の試行と成功した秘密漏洩はなかった一方で、エージェントメモリ汚染、バッチコンテキスト、APIコスト、アカウント停止、モデル選択に関する実践的なデプロイ問題が浮き彫りになった。
🧰 AgentStalker - エージェント脆弱性ベンチマークおよび分析ツールキット。テイントトラッキング、AST分析、コード監査、エージェント攻撃パスのサンドボックス再現を備える。 ⭐️115
🧰 darknet-mcp-server - 侵害、ランサムウェア、マルウェア、エクスプロイト、スティーラーログ、脅威インテリジェンスツールをAIエージェントに公開するMCPサーバー。制御されたセキュリティ研究ワークフロー向け。 ⭐️67
🧰 mcp-trust-plane - Model Context Protocolプロバイダ向けのコンポーザブルなデータセキュリティおよびガードレールプレーン。MCP接続ツールとデータに関するポリシー制御に焦点。 ⭐️60
🧰 prompt-gate - 許可されていないAIツールをブロックし、エンドポイントを離れる前に送信プロンプト内のシークレットや機密データを検査するためのローカルDLPおよびDNS層制御。 ⭐️28
🧰 claude-ai-cyber-security-skills - セキュリティワークフロー向けClaude Codeスキルコレクション。攻撃的テスト、防御的分析、ツール支援調査パターンを含む。 ⭐️17
🧰 talos - スコープ付きマシン間認可を必要とする人間、サービス、AIエージェント向けのAPIキーおよびケイパビリティトークンサービス。 ⭐️14
🧰 SkillsGuard - 悪意のある、または安全でないAIエージェントスキルパッケージ、SKILL.mdファイル、バンドルスクリプト用の静的スキャナー。 ⭐️13
🧰 tamga - PII編集、プロンプトインジェクション防御、モデルトラフィック周りのコンプライアンス制御のためのセルフホストLLMセキュリティプロキシ。 ⭐️11
🧰 llm-sec-range - プロンプトインジェクションCTF、OWASP LLM Top 10、脆弱なエージェント、ローカルモデルターゲットをカバーするLLM攻撃・防御レンジ。 ⭐️9
🧰 aka-claude-tools - クリーンなコンテキスト、分離されたプロファイル、ロックされた認証情報、ガードされた出力、より安全なローカルデフォルトのためのClaude Code強化ユーティリティ。 ⭐️9
🧰 agent-jackstop - 信頼できないツール出力を介したプロンプトインジェクションに対するCursorおよびClaude Codeのための強化レイヤー。エージェントジャッキングとも呼ばれる。 ⭐️8
🧰 LLM-Safety-platform - LLM脆弱性評価、プロンプトインジェクション、難読化攻撃、サンプリング安定性分析のためのAIレッドチーミングプラットフォーム。 ⭐️6
📘 エージェンティックAIセキュリティとガバナンスの現状 2.01
OWASPの6月アップデートが、エージェンティックAIセキュリティをガバナンスとエンジニアリングのマップに変える。自律ワークフロー、エージェントリスクカテゴリ、制御、および初期の脅威モデルと本番インシデントの間の実践的なギャップをカバー。
Cloud Security Allianceが、18のセキュリティドメインにわたる247のAIコントロール目標を公開。ISO 42001、ISO 27001、BSI AIC4、EU AI法指向のガバナンスなどの保証およびコンプライアンスフレームワークへのマッピングを含む。
📘 クラウドサービスプロバイダ向けAICMv1.1実装ガイドライン
CSAが、AIコントロールマトリックスをクラウドプロバイダの実装ガイダンスに変換。監査計画、是正、脆弱性管理、パートナー監視、脅威検出、AI固有の保証プラクティスをカバー。
📘 サイバーリスクにおけるAIシフト: リーダーが今行動すべき理由
英国NCSCとファイブアイズパートナーが、AIが攻撃者の障壁を低減し、脆弱性からエクスプロイトまでの時間を短縮していると警告。リスクシフトを、セキュアバイデフォルトのデフォルト、露出削減、パッチ速度、強力な認証、インシデント対応、防御的AIの使用にマッピング。
📘 Model Context Protocol: AI駆動自動化のためのセキュリティ設計上の考慮事項
NSAと国際パートナーが、AI駆動自動化のためのMCPセキュリティ設計ガイダンスを公開。認証、認可、サーバー信頼、トランスポート制御、ツール露出、実験から本番に移行するエージェントエコシステムの監視をカバー。
