Notion 3.0で発見されたAIエージェントの重大なセキュリティ脆弱性とプロンプト注入攻撃のリスク

Notionが最近リリースしたバージョン3.0は、AIエージェントを搭載して注目を集めていますが、Simon Willsonが指摘した3つの致命的な脆弱性により、データ盗難のリスクにさらされていることが問題視されています。この脆弱性は、個人情報へのアクセス、信頼できないコンテンツへの露出、外部との通信能力に関連しています。

これらの脆弱性を悪用する攻撃は、PDFファイルに隠されたプロンプト指示を通じて行われます。攻撃者は、白い背景に白いテキストでLLMに機密データを収集させ、それを自分に送信するよう指示します。この攻撃では、PDFファイルにクライアントリストを読み込み、会社名とARRを抽出して1つの文字列に連結し、そのデータをhttps://db-client-codeintegrity.com/{data}形式のURLで送信するよう誘導します。これにより、攻撃者はデータを容易に奪取することが可能です。

LLMの根本的な問題は、信頼できないデータと権限ある命令を区別できない点にあります。そのため、悪意のあるPDFに遭遇すると、内蔵された命令をそのまま実行してしまいます。個人情報へのアクセス権と外部通信能力を同時に持つLLMは、攻撃者の要求を容易に実行してしまうのです。

現在、多くの企業がこのようなAI技術をリスクを十分に考慮せずに急速に展開しています。Notionが唯一の例ではなく、AI技術が楽観的に進展しているにもかかわらず、こうしたリスクに対する警戒が必要です。AIエージェントが敵対的な環境で動作する際、信頼できない訓練データや入力データを処理する過程で、プロンプト注入攻撃に対して脆弱になる可能性が指摘されています。これは、AI技術開発者が見過ごせない現実的な問題として浮上しています。