Google ADKで発見されたエージェント間攻撃についてPillar Securityが報告

Google ADKで発見されたエージェント間攻撃についてPillar Securityが報告

SecurityWeek – August 4, 2026

GoogleのAgent Development Kit（ADK） for Pythonにおけるエージェント間攻撃（agent-to-agent attack）の手法を、Pillar Securityが発見。これは、低権限のAIエージェントを欺いて高権限エージェントへのプロンプトを受け渡させ、本来では制限されているコマンド実行などの機能へアクセスできるようにする手法だという。

Googleが提供するオープンソースのAIエージェント開発フレームワークADKのGitHubリポジトリ（google/adk-python）には、ユーザーがプルリクエスト（PR）またはIssueを開いた際に起動する低権限のエージェントと、メンテナのみがアクセス可能な高権限のエージェントという、2つのクラスのAIエージェントが存在していた。

Pillar Securityは当初、PRのトリアージを担当する低権限のエージェントが、コラボレーター（Collaborator）権限でPRにコメントしていたことから、同エージェントのコメントが、GitHub上では信頼されたコラボレーターのコメントと認識されることを発見。このエージェントを欺き、「@gemini-cli ＜プロンプト＞」というコメントを投稿するよう仕向けたところ、gemini-invokeワークフローが起動して、さらに権限の高いワークフローへアクセスすることが可能になったとされる。

この特権エージェントがMCPサーバーを介してアクセス可能なツール情報が明らかになったことにより、Pillar Securityの研究者は、ほかのメンテナ・コラボレーター・メンバーのPRおよびIssueを修正したり、レビューを却下したり、PRの変更を承認したり、任意のPRに対して「gemini-invoke」や「gemini-review」を実行したりすることができる状態になったという。

研究者らは6月にこの発見をGoogleへ通知。Googleはセキュリティ強化を通じてこの問題に対処したものの、悪意あるPRをマージするにはソーシャルエンジニアリングが必要であった点を理由に、バグ報奨金の支給基準を満たすとはみなさなかった。

その直後、PillarはADKリポジトリ内の、新たに追加された自動化機能「Antigravity-SDK」ベースのエージェントにも別のエージェント間攻撃の脆弱性を発見。この脆弱性により、メンテナの介入なしにリモートコード実行が可能となる恐れがあったとされる。Googleはこの脆弱性についても、7月下旬に修正している。

PillarはCISOやセキュリティチームに対し、パイプライン内にすでにエージェント型のワークフローが存在する箇所を洗い出すことや、プロンプト注入による偽造を防ぐ制御がない限り、特権の境界を越えてエージェントが別のエージェントを起動できないようにすることなどの緩和策を推奨している。

AIガードレールの回避はスクリプトキディにも可能なほど容易：Cisco Talosが報告

The Register – Tue 04 Aug 2026

AIモデルには、モデルがサイバー攻撃を支援するのを防ぐためのガードレールが備わっているものの、こうしたガードレールの耐性はかなり低いことがCisco Talosの報告により明らかに。脅威アクターらは、高度な手法ではなく、攻撃対象のサーバーは「自分のものだ」と主張したり、バグバウンティに挑戦中だと主張したりといったより単純なやり方でガードレールを回避しているという。

Talosの研究者らは、Claude Code、Codex、Cursor、Geminiなどのツールを実行している脅威アクターのエンドポイントから回収されたプロンプトログやアーティファクトを詳細に分析し、こうしたアクターがLLMをどのように悪用しているかを解明しようとしてきた。その結果、「モデルを欺くための高度なエンコード手法やテクニック」は見受けられず、大半のケースで「私はこれを行う許可を得ている」などとシンプルな形でモデルを欺こうとしており、実際にモデルはアクターの主張・指示に従っていたという。

Talosが挙げたガードレール回避手法の事例には、以下のようなものがある。

• 攻撃しようとしている機器やインフラの所有権を主張する：これからエクスプロイトしようとする対象が「ユーザー（アクター）自身のものである」とAIに伝えることで、証拠を提示せずともAIはこれを信じるケースが多かったという。
• capture-the-flag（CTF）やバグバウンティ演習を口実にする：求められている作業がこうした演習のためだと思わせる手法。チャットボットは裏付けを取ることなくアクターのこの主張を鵜呑みにして倫理的な制約から解放され、脆弱性を探し出したり、標的システムでそれを悪用したりすることが可能になるという。
• タスクを分割する：タスクを複数のセッションやファイルに分割して実行するケースも頻繁に観測されている。これにより、より広い文脈での悪意ある活動が検出された場合にのみ作動するモデルの保護機能を回避することを目指しているとされる。
• AIペルソナの条件付け：チャットボットにメモリやマークダウンファイル、その他のシステムレベルのプロンプトを追加してAIペルソナの条件付けを行うことで、ガードレールを回避できていた事例もあるとされる。
• Hephaestusの悪用：レッドチーム用ツールセットHephaestusを悪用した回避事例も確認されている。このケースでは、露骨に悪意のある動詞の代わりに中立的な動詞を使用することで、エージェントの拒否反応を回避できるプラットフォームが構築されていたという。

Talosは一方で、AIは優れたスキルを持つハッカーたちにとっては強力な武器となる一方で、平均的なスクリプトキディにとってはさほど有効性を発揮しないであろうことも突き止めている。同調査チームによれば、技術的に未熟なアクターでもAIを利用して技術的には機能する悪意のあるプロジェクトを寄せ集めることはできるが、「ツールをさらに高度に活用するための専門知識が不足しているため、結局は水準以下の結果に終わってしまう」という。

攻撃者によるAI活用が急速に進む中、Talosは「アラートの量が増加するにつれ、エージェントはSOCにおいてより重要な役割を担うようになるだろう」と防御側のAI利用の今後について予測。「人間のアナリストが最も重要なアラートに集中できるよう、エージェント機能をまだ検討していない組織は、間もなくその機能の導入を急ぐことになるだろう」と記した。