AIエージェントに新しい能力を追加する「スキル」の多くに、認証情報を漏洩させる欠陥が潜んでいることが、Wake Forest大学の研究チームの調査で判明した。第三者が開発したスキルをマーケットプレイス経由で導入する際に、開発段階の不注意やずさんなコーディング慣行がそのまま脆弱性として持ち込まれているという。

調査の規模と結果

研究を主導したのはWake Forest大学コンピュータサイエンス学科助教授のYing Zhangだ。研究チームは、160万以上のスキルを扱う配布プラットフォーム「SkillsMP」から17,022個のスキルを無作為に抽出し、170,226個の出力を生成して分析した。

その結果、520個のスキルから1,708件のセキュリティ問題が見つかり、漏洩のパターンは10種類に分類された。さらに深刻なのは、検出された認証情報のうち89.6%が、追加の手順なしにそのまま悪用可能な状態だった点だ。

悪意と過失、2つの漏洩経路

漏洩の原因は大きく2種類に分けられる。1つは開発段階で認証情報の盗み取りを意図的に組み込む悪意あるケース、もう1つはセキュアでないコーディング慣行から生じる過失によるケースだ。

具体例として、開発者がBase64エンコードしたクライアントシークレットをスキルのソースコードに直接埋め込んでいた事例が報告されている。このエンコードは暗号化ではなく単なる文字列変換にすぎないため、スキルをインストールした人物なら誰でも中身を読み取れる状態だったという。

開発者・利用者への影響

Zhangは「セキュリティは開発の初期設計段階から組み込まれるべきだ」と主張し、開発者の知識不足とセキュリティを軽視する慣行の改善を呼びかけている。

AIエージェントに外部スキルを追加する動きは、ChatGPTやClaudeなど主要プラットフォームでも広がっている。便利さと引き換えに、出所の分からないコードを実行環境に取り込むリスクも増しており、企業や個人開発者はスキルを導入する前に、認証情報の埋め込み方や権限範囲を確認する習慣が求められる。