暗号化コンテキストインジェクションによるAIガードレールの回避

[要約] CSAのレポートは、強固な暗号を用いてAIの静的ガードレールを回避する新攻撃手法「暗号化コンテキストインジェクション」を解説している。攻撃者はAES-256-GCM等で暗号化した指示文を入力する。静的分類器は暗号文を検知できず通過させるが、AIは信頼されたコード実行環境（Python等）でこれを復号する。復号後の平文を「AI自身の出力」と誤認・信頼（信頼のロンダリング）することで、検閲を経ずにユーザーの会話履歴や個人情報を外部へ不正送信させる。GrokでのPoCによりデータ流出が実証されており、本手法はモデル固有のバグではなく「コード実行前にしか検査を行わない」AIエージェント構造の共通課題である。対策として、復号実行後の再検閲、外部通信の制限、権限分離アーキテクチャの導入といった動的なセキュリティ統制が提唱されている。

・[要点1] 強固な暗号化でAI検閲を回避する攻撃手法
・[要点2] 復号後の指示をAIが誤信頼しデータを流出
・[要点3] 実行後の再検閲や通信制限など動的対策が不可欠

2026年8月20日、イスラエルのセキュリティ・スタートアップ企業Adversa AI の研究者Rony Utevsky氏は、「ゼロクリックGrokデータ窃取：暗号的コンテキスト注入攻撃による会話履歴の流出」と題する記事を公開した（関連情報（https://adversa.ai/blog/cryptographic-context-injection-grok-data-theft/））。Adversa AI は、クラウドセキュリティアライアンス（CSA）イスラエルチャプターのメンバーであり、「CSA Startup Innovation Pitchapalooza 2025」を受賞したスタートアップ企業である（関連情報（https://www.prnewswire.com/news-releases/adversa-ai-wins-cloud-security-alliances-pitchapalooza-2025-award-recognized-as-the-leading-platform-for-continuous-ai-red-teaming-and-agentic-ai-security-302628127.html））。

Utevsky 氏は、xAIのAIアシスタント「Grok」（Grok 4.5 Fast等）において、ユーザーの操作（クリック等）を必要としないゼロクリックで会話履歴や個人情報を流出させられる深刻な脆弱性を発見した。本攻撃は、Adversa AIが新たに提唱する「暗号化コンテキストインジェクション（Cryptographic Context Injection）」と呼ばれる高度なAIガードレール回避手法に基づいている。

従来のプロンプトインジェクション攻撃は、単語の言い換えやBase64などの単純な難読化を用いるため、入力段階で動作する事前検証型ガードレール（コンテンツ分類器）に見破られやすいという弱点があった。本手法は、このセキュリティモデルの盲点を突いて攻撃を成功させるものである。

このAdversa AI による研究報告を受けて2026年8月23日、クラウドセキュリティアライアンス（CSA）は、「暗号化コンテキストインジェクション：暗号化がAIガードレールを打破する時」と題するレポートを公開した（関連情報：Cryptographic Context Injection: When Encryption Defeats AI Guardrails（https://cloudsecurityalliance.org/artifacts/cryptographic-context-injection-when-encryption-defeats-ai-g））。

CSAのレポート「暗号化コンテキストインジェクション：暗号化がAIガードレールを打破する時」は、以下のような構成になっている。

・主要なキーメッセージ
・背景
・セキュリティ分析
・推奨事項・対策
・CSAリソースとの整合性
・参考文献

【主要なキーメッセージ】

・攻撃手法の定義：
「暗号化コンテキストインジェクション（Cryptographic Context Injection）」とは、悪意のある指示文を強力な暗号（PBKDF2で生成された鍵を用いたAES-256-GCM等）で暗号化してAIに入力する新たな攻撃手法である。事前検証を行う静的コンテンツ分類器（ガードレール）は暗号文を解読できないため攻撃をスルーするが、AIシステムが自らの信頼されたコード実行環境（Python等）内部でこれを復号し、得られた平文を外部からの不審な入力ではなく「AI自身が生成した出力（信頼できる内部情報）」として処理してしまう点に特徴がある。

・Grokにおける概念実証（PoC）：
Adversa AIの研究者 Rony Utevsky 氏は、xAI社の「Grok」（Grok 4.5 Fast、grok.com）に対するPoC（概念実証）を実証した。Webブラウジング機能を持つGrokに対し、攻撃者が仕込んだWebページを要約させることにより、ユーザーの氏名、概算の現在地、サブスクリプション階層、進行中の会話内容などを取得させ、特定URLを通じて外部サーバーへ送出させることに成功した。

・報告の経過とベンダーの対応：
Utevsky 氏は2026年6月3日、HackerOneを通じてxAIへこの脆弱性を報告した。しかし、2026年8月20日の公表時点までに、xAI側は受領を承認したものの、パッチの適用、CVE IDの割り当て、緩和策のタイムライン提示などを一切行っていない。
・他モデルへの広がり：この手法はGrok固有のバグではない。2026年3月に Utevsky 氏が公表した研究「Cryptographic Payload Injection」では、Google Geminiのセーフティフィルターを5回中5回回避することに成功している（完全なデータ流出チェーン構築には至らず）。一方で、OpenAIのGPT-5は復号指示の解釈自体に失敗し、AnthropicのClaude Sonnet 4.5は復号には成功したものの、得られた平文をプロンプトインジェクションと認識してブロックした（部分的防衛成功）。

・構造的問題の露呈：
この攻撃は特定のモデルの固有バグというより、「モデルにコード実行権限やツール利用権限を与えつつ、コード実行前にしか入力コンテンツの安全性を検査しない」という、現代のAIエージェントアーキテクチャ全般に共通する構造的な不整合を突いたものである。

【背景】

従来のガードレールとその限界：
LLMのガードレールは従来、プロンプトや取得文書がモデルに届く前にキーワードや知られている攻撃パターン、ジェイルブレイク表現をチェックする静的テキスト検査に依存してきた。攻撃者はBase64やROT13、Leetspeakといった単純なエンコーディング（難読化）でこれを潜り抜けようと試みたが、AIは学習データからこれらをパターン認識して解読できるため、セキュリティ側も「Base64の塊が存在すること自体を不審」と認識する分類器を学習させて対応してきた。

強力な暗号化による不可視化：
暗号化コンテキストインジェクションは、この防衛前提を根本から破壊する。Base64のようなやさしい難読化ではなく、以下のように、真の強力な暗号（AES-256-GCM）を用いる。

1.攻撃者は一般的なWebページ上に、暗号化されたJSONペイロード、鍵情報、そして「PBKDF2で鍵を生成しAES-256-GCMで復号せよ」という短い命令を埋め込む。
2.強力な暗号文は統計的にランダムノイズと区別がつかないため、入力チェックを行うコンテンツ分類器は「読める危険情報がない」として通過させる（モデルの重み/パターン認識だけではAES暗号を解読できない）。
3.復号するには「実際に暗号化アルゴリズム（Pythonコード）を実行する」必要がある。

「信頼のロンダリング」：
GrokなどのAIがWebページを読み込んだ際、モデルはそのページに含まれる指示に従い、自らの信頼された実行環境（Pythonサンドボックス）内で復号スクリプトを走らせる。 復号された悪意ある指示は、「AIモデル自身が自らコードを実行して算出した出力」として出現する。システムはこの指示を「外部の不審なWebサイトから来たデータ」ではなく「信頼できるAI自身の思考・出力結果」として扱うため、セーフティチェックにかかることなく、指示通りにセッション情報（ユーザー名、位置情報、会話履歴など）を収集し、外部URLパラメータに組み込んでデータを不正送信してしまう。

【セキュリティ分析】

・実行前チェックの盲点：
コンテンツ分類器は、検査時点で存在する生のテキストやトークンしか評価できない。強力に暗号化されたペイロードは鍵がない限り解読不能なため、分類器には警告を出す根拠が存在しない。悪意ある内容が可視化されるのは、モデルがその復号処理を信頼して実行した後である。

・信頼のロンダリングとROPとの類似性：
Adversa AIはこの現象を「Trust Laundering（信頼のロンダリング）」と表現している。また、従来のバイナリ攻撃手法であるROP（Return-Oriented Programming）になぞらえ、暗号文、鍵材料、復号指示という単体では無害に見える断片を組み合わせ、AIの実行環境上で初めて危害を発生させる手法であると分析している。

・理論的限界（NIST/Gödel的視点）との一致：
CSAが過去に取り上げたNISTの理論分析（ゲーデルの不完全性定理に触発された研究）では、「無限の敵対的入力空間に対し、静的なガードレールルールの有限集合で完全かつ一貫した安全性を保つことは理論上不可能である」と証明されている。暗号化コンテキストインジェクションは、まさに「実行前のテキストスキャン型ガードレールでは構造上評価不可能な入力カテゴリが存在する」という理論的限界を具現化した例と言える。

・ガードレールのタイミングエラー（他分野での類似例）：
CSAが調査したAIコーディングエージェントの脆弱性「GuardFall（シェルインジェクションの回避）」でも、シェルが変数を展開・解釈する前にガードレールが検査を行っていたために回避が発生していた。今回の暗号化インジェクションも同様に、「システム自身が行う変換処理（復号）の前で検査を行ってしまう」というタイミングの誤りが原因である。

【推奨事項・対策】

＜即時対応策＞
・Webブラウジング機能とコード実行環境を併せ持つAIアシスタントを運用・評価している組織は、ベンダーによる修正が行われるまで高リスクとして扱うべきである。
・特に外部コンテンツを処理した結果として発動するネットワーク通信に対して制限を設け、セッション情報が含まれるURLへの外部リクエストをブロックまたは人間の承認（Human-in-the-loop）を必須とする。

＜短期的な緩和策＞
・実行後の再検閲：モデルがデータの復号やデコードを行った後に、得られた平文に対して再度コンテンツ分類器を通すステップを追加する。
・異常検知の強化：外部文書の処理直後に、モデルが生成したコードからPBKDF2やAES復号などの暗号化プリミティブが呼び出された場合、それを異常として検出・フラグ立てする。
・権限分離アーキテクチャ：外部コンテンツを処理するサンドボックス化されたモデルと、特権的ツール（ネットワーク通信等）を扱うオーケストレーターを分離する設計を採用する。

＜戦略的検討事項＞
・静的なガードレールを「導入して終わり」の機能とみなさず、継続的に更新されるセキュリティ統制として扱う。
・レッドチーム演習において、通常の自然言語ジェイルブレイクだけでなく、暗号化・エンコーディングを用いた回避手法のテストを定期的に実施する。
・強力な来歴とデータフロートラッキングを導入し、暗号復号などの変換を経た後であっても「外部の不審なソース由来データ」というタグを維持する仕組みを構築する。

最後に、「CSAのリソースとの整合性」では、本レポートとクラウドセキュリティアライアンス（CSA）が提供する各種フレームワークとの相互補完関係について、以下のように説明している。

・「GuardFall：シェルインジェクションによる回避がAIコーディングエージェントのガードレールを破る」：AIコーディングエージェントにおける「変換実行前検査」の欠陥を実証した研究（関連情報（https://labs.cloudsecurityalliance.org/research/csa-research-note-guardfall-ai-agent-shell-injection-2026070/））。
・「エージェントデータインジェクション：プロンプトインジェクションを超える新たな攻撃クラス」：直接的なプロンプトインジェクション対策を回避し、エージェントが信頼するコンテキストを操作する攻撃の危険性を示したレポート（関連情報（https://cloudsecurityalliance.org/artifacts/agent-data-injection-a-new-attack-class-beyond-prompt-injection））。
・「NISTが静的なAIガードレールの数学的不十分さを証明」：静的ガードレールの数学的限界を証明したNIST研究の分析（関連情報（https://labs.cloudsecurityalliance.org/research/csa-research-note-nist-continuous-ai-monitoring-godel-proof/））。暗号化ペイロードはこの限界の典型例。
・「AI Controls Matrix (AICM) v1.1」：AIエージェントの実行環境の権限境界設定や出力の信頼性管理を定義したガバナンスフレームワーク（関連情報（https://cloudsecurityalliance.org/artifacts/ai-controls-matrix-v1-1））。

CSAジャパン関西支部メンバー
DevSecOps／サーバーレスWGリーダー
笹原英司