AIエージェント（人に代わって作業やツール操作を自律的にこなすAIプログラム）が作業ごとに呼び出す「スキル」という拡張機能に、特定の条件がそろったときだけ発動する新型のバックドア（本来の利用者に気づかれないよう仕込まれた不正な抜け道）攻撃手法が報告されました。研究者らが発表した論文ElasticBackは、スキルの説明書に埋め込む隠しルールと、ユーザーの質問文に紛れ込ませる無害に見えるトリガー（不正動作を起動させる合図となる文字列）を組み合わせ、両方がそろって初めて悪意ある処理を起動する仕組みです。150個のスキルと4つのLLM（Large Language Model、大規模言語モデル）で検証し、高い攻撃成功率と低い誤検知率を両立、既存の防御手法もすり抜けたと報告しています。
背景と文脈
Claude CodeやCodex CLI、Gemini CLIといった最近のAIエージェント基盤は、あらかじめ全ての作業を想定したプロンプトを持たせる代わりに、必要になった時だけ「スキル」を読み込む方式を採っています。スキルは指示書ファイルとスクリプトや資料をひとまとめにした拡張機能のようなもので、公開されているものを検証なしにほぼそのまま使うのが一般的です。便利さの裏返しとして、汚染されたスキルが1つ公開されるだけで、それを導入した全ての利用者に被害が及ぶ供給網リスクが生まれます。論文が引用する調査では、公開されている3984個のコミュニティ製スキルのうち13.4%に深刻なセキュリティ上の問題が見つかったといいます。
これまで報告されてきたスキル向けバックドア攻撃は、大きく2種類に分かれていました。1つは常に発動するタイプで、トリガーを持たず毎回不正な指示を実行するため、通常の利用でも異常が目立ちやすく検知されやすい弱点があります。もう1つは条件付きで発動するものの、モデル自体をファインチューニング（追加学習で挙動を調整すること）したり、複数のスキルに処理を分散させたりする必要があり、攻撃者にとって手間とコストがかさみます。条件付きでありながら軽量、という組み合わせは手つかずのまま残されていました。
技術/ビジネス面
ElasticBackの核心は、ルールRとトリガーTを別々に作りながら、確実にかみ合わせる仕組みにあります。まずスキルの説明書の中で、目立たない位置を見つけ出し、ペイロード（不正な処理そのもの）に固有の言葉から「ゲートワード」と呼ぶ合言葉を抽出して、それを条件として組み込んだルールを生成します。この手法を論文は「semantic-anchored rule injection（意味的な手がかりに基づくルール埋め込み）」と呼んでいます。ルールは「条件Cを満たす場合のみ処理を実行し、それ以外は通常通り進める」という形を取るため、トリガーに触れない限り沈黙を保ちます。
ルールを固定した後、トリガー側は遺伝的アルゴリズム（生物の進化を模し、候補を少しずつ入れ替えながら最適な形へ改良していく手法）を使って進化させます。論文はこれを「stealth-constrained genetic search（隠密性を制約条件に加えた遺伝的探索）」と呼び、効果の高さと自然な言い回しの両立をスコアとして評価しながら世代を重ねます。150個のスキル、3種類の攻撃目的、4つのLLMを組み合わせた12通りの検証では、平均で攻撃成功率89%、誤検知率6%、正常な処理の精度低下はわずか3%にとどまりました。さらに、応答の分かりやすさを調べる異常値検出（PPL Detection）を82〜86%、AIによる審査（LLM-as-Judge Audit）を54〜78%、実行時の挙動監視を98〜100%の割合ですり抜け、攻撃を作った基盤モデルとは別のモデルにも効果が転移することも確認されています。
これからどうなるか
この研究が示すのは、AIエージェントのスキルがソフトウェア開発におけるnpmやpipのパッケージと同じような供給網リスクを抱え始めているという点です。出所の分かりにくいスキルを検証せずに導入する運用は、コードのコピー&ペーストと同じ危うさを持ちます。開発者としては、社内外で共有するスキルの説明書に不自然な条件分岐や、通常業務と無関係な外部通信の指示が紛れていないか、導入前に目を通す習慣が今まで以上に重要になりそうです。論文の著者らも、静的な検査だけでなく、スクリプトの実行環境を隔離するサンドボックス化や、権限を細かく制限する仕組みが今後の対策の柱になるとしています。自分のプロダクトでAIエージェントにスキルを読み込ませる設計をしている場合は、実行権限を最小限に絞る設計を見直す良いきっかけになるはずです。
まとめ
ElasticBackは、スキル文書に仕込む隠しルールとユーザー入力に紛れ込ませるトリガーを組み合わせ、両方がそろった時だけ発動する軽量なバックドア攻撃です。高い成功率と低い誤検知率を両立し、既存の防御もすり抜けることが示され、AIエージェントのスキル供給網に新たな対策の必要性を突きつけています。
参考リンク
- ElasticBack: Stealthy Conditional Backdoor in LLM-Agent Skills via Coupled Trigger–Rule Optimization
アイキャッチ画像: Photo by Solen Feyissa on Unsplash
