クリックしたのはリンク1本です。その後は自分では何も操作していないのに、接続済みのOutlookが動いていました。確認画面が出なかったのは、承認設定が直前に「確認しない」へ書き換えられていたからです。ガードレールを破られたのではなく、外した状態で組み立てられた——そこが引っかかります。
Zenity Labsは2026年7月23日、OpenAIのChatGPT Workspace Agentsに存在した脆弱性「AgentForger」を公開した。報告者は同社AIレッドチーム研究者のマイク・タカハシである。エージェント構築画面のURLはtemplate_nameとinitial_assistant_promptというパラメータを受け取り、後者はページ読み込み時に自動で送信・実行される。攻撃者はリンク1本でエージェントを作成させ、承認設定を「Never ask」に変更し、5分間隔のスケジュールで稼働させられる。
エージェントはOutlook、Gmail、Slack、Microsoft Teamsなどのコネクタを利用し、攻撃者宛てに結果を返信する。成立条件は、ChatGPTへのログイン、Workspace Agentsへのアクセス権、認可済みコネクタの保有である。Zenity Labsは6月4日にBugcrowd経由で報告し、OpenAIは6月8日に修正した。
From: 
AgentForger, Part 1: ChatGPT Cross-Site Agent Forgery
【編集部解説】
まず押さえておきたいのは、この攻撃が「AIを騙して禁止事項をやらせた」話ではない、という点です。
一般的なプロンプトインジェクションは、既に動いているエージェントに嘘の指示を紛れ込ませ、ガードレールを迂回させる手口です。しかしAgentForgerが狙ったのは、エージェントが生まれる前の段階でした。攻撃者はガードレールを突破していません。アプリ操作の承認ゲートを最初からオフにした状態で、被害者のアカウントに新しいエージェントを組み立てさせたのです。
鍵になったのは initial_assistant_prompt というURLパラメータでした。本来これは、ビルダーに最初の指示を渡すための入力欄への値です。ところがページを開いた瞬間、その値は入力されるだけでなく自動送信され、実行されていました。つまりURLの中身が、そのままエージェントへの一行目の命令になっていたわけです。
ここで効いてくるのが「すでに接続済みのコネクタしか使うな」という指示の巧妙さです。新規接続を試みればOAuthの同意画面が出て、被害者は異変に気づきます。それを避けるため、実証で使われたプロンプトは既存の接続だけを使うよう明示していました。新たなOAuthスコープを取得することなく、ユーザーが過去に許可した範囲だけで攻撃が完結する設計になっていたことになります。
ただし、誰でも被害に遭うわけではありません。成立には、被害者の組織でワークスペースエージェントが有効化されていること、被害者本人にエージェント作成権限があること、そして接続対象のアプリとアクションが管理者の許可範囲に入っていることが必要でした。重要な成立条件の多くは、組織側が制御できる変数だったということです。一方で、ログイン状態や本人がクリックするかどうか、ユーザー自身が作った接続までを管理者が完全に握れるわけではありません。
「プレビュー」という言葉が生んだ落差
プレビューモードの扱いも見逃せません。プレビューという言葉から多くの人が想像するのは、実行前の下書き確認でしょう。しかし実証では、設定済みの承認ポリシーをそのまま使い、被害者の本物のアカウントに対してエージェントが動きました。Outlookの承認設定はその直前に「Never ask」へ書き換えられていたため、確認画面は表示されていません。言葉の印象と挙動が食い違う場所は、そのまま攻撃者にとっての足場になります。
永続化の仕組みも、少し丁寧に見ておく価値があります。「5分ごと」と報じられていますが、正確には1時間おきのスケジュールを00分、05分、10分……と時刻をずらして複数仕掛け、全体として5分間隔になるよう構成されていました。スケジュール実行はワークスペースエージェントの標準機能であり、悪用のために特別な細工をしたわけではありません。便利な自動化と、攻撃者のC2チャネルは、実装として同じものだったということです。
どこに痕跡が残り、どこに残らないのか
この事案が既存のセキュリティ運用に突きつける問題は、検知の性質が変わることにあります。端末にマルウェアの実行ファイルは置かれず、未知のC2基盤も必要としません。操作は被害者の正規アカウントと認可済みコネクタを通じて行われるため、端末のテレメトリを中心に見るEDR単独では捉えにくい可能性があります。
もっとも、痕跡がまったく残らないわけではありません。攻撃者が管理するメールアドレスへの送信は残りますし、Part 2の実証では攻撃者管理の偽ログインページも使われています。メール監査、DLP、CASB、OpenAIのCompliance APIといった経路で捉えられる余地はあります。問題は「見えない」ことではなく、どこを見るべきかの前提が変わったことだと私は考えています。攻撃対象がソフトウェアから、組織における「振る舞い」そのものへ移りつつある、と表現してもよいかもしれません。
一方で、対応の速さは率直に評価されるべきでしょう。Bugcrowd経由の報告が6月4日、翌5日に受理、8日には該当のURLパラメータを削除して修正完了。所要日数は媒体により「3日」とも「4日」とも報じられていますが、Zenity Labs自身は「4日」と記載しています。公表は修正後の7月23日であり、現時点で公開された実悪用の報告は確認されていません。ただし、OpenAIまたはZenityが悪用の不存在を正式に確認した声明も、あわせて確認できていません。
Zenityが挙げる根本原因は2つあります。CSRF対策のないクロスサイト自動実行と、承認ポリシーやスケジュールといったセキュリティ設定を自然言語の指示から変更できること。塞がれたのは前者の「扉」ですが、後者については判断が難しいところです。自然言語でエージェントの承認や制約を構成できる設計自体は現在も存在します。ただし、修正後に攻撃者由来の入力が無確認で同じ変更を行えるかどうかは、公開情報からは判断できません。承認を求める仕組みが、承認を求めるべき相手によって書き換えられ得るとしたら——という問いは、特定ベンダーの実装を越えて残ります。
Zenityが引用する「lethal trifecta（致命的な三要素）」は、2025年6月にサイモン・ウィリソン氏が提唱した概念です。機微データへのアクセス、信頼できない入力、外部への出口——この3つが揃った時点で、個別の対策では守り切れなくなるという設計上の警告です。今回はURLが入力、コネクタがアクセス、メール送信が出口として、教科書どおりに三要素が揃いました。
組織側に残されているレバー
日本の読者にとって実務的に意味を持つのは、この機能の提供状況です。ワークスペースエージェントは2026年4月22日にリサーチプレビューとして公開され、5月22日にChatGPT Business／Enterprise／Edu向けの一般提供へ移行しました。4月22日の発表時点ではTeachersも対象に含まれています。すでに試験段階を越えた機能だということです。
そのうえで、Enterpriseワークスペースでは既定でオフになっており、有効化は管理者の判断に委ねられます。エージェントの作成・公開・利用権限も管理者が制御でき、2026年5月時点で管理コンソールから組織内のエージェント、最近の活動、接続アプリ、スケジュールを確認できるようになっています。組織側にレバーは残されており、可視性の仕組みも用意されている、というのが現状です。
導入時に整理しておきたいのは、承認設定を誰が変更できるのか、スケジュール実行中のエージェントを定期的に棚卸しする運用があるか、コネクタのアプリとアクションを最小限に絞れているか、という3点でしょう。エージェントを「便利な社員」として迎え入れるなら、人事や情シスが新入社員に対して行う権限設計と同じ厳密さが必要になります。
Zenity Labsは2025年8月のBlack Hat USAでも、ChatGPT、Microsoft Copilot Studio、Salesforce Einstein、Gemini、Microsoft 365 Copilotなど複数ベンダーを対象としたゼロクリック攻撃「AgentFlayer」を公表しています。今回のように迅速な修正に至る事例がある一方で、エージェントの挙動をどこまで「脆弱性」と見なし、どこからを「仕様」と扱うのか。その線引きが業界でまだ定まっていないことが、この分野の最も不安定な部分だと私は見ています。
なお本件には続編があります。Part 2では、エージェントのシステム指示とスケジュールタスクを通じて、メールを介した指令統制がどう機能するかが扱われています。研究環境での実証として、従業員名簿やSlackチャンネルの把握、M&A関連のターム・シートや取締役会資料の持ち出し、Slack上に残されていたパスワードの平文送信、Microsoft Teamsを使った本人名義の内部フィッシング、そして242,500ドルの送金承認依頼までが示されました。
【関連記事】
AIエージェントは「すでに侵害されている」─TrendAIとPwCが13モデル2,600テストで示した構造的欠陥とAI-CAL
13モデル2,600テストでエージェント全般の脆さを示した調査。今回はその具体的な実例にあたる。
CrowdStrike、AIエージェントを狙う新プロンプトインジェクション5手法を公表
エージェントを狙う注入手法の分類。今回のURL経由の自動実行は、この地図の外側にある。
OpenClawエージェント「Cass」がパスワード流出、ハンナ・フライ教授の実験が示すAIエージェントの光と影
lethal trifectaとプロンプトインジェクションを解説した一本。本記事の前提理解を補う。
【編集部後記】
ChatGPTの設定画面から「アプリとコネクタ」の一覧を開くと、自分が過去にOAuthで許可したサービスが並んでいます。Outlook、Slack、Google Drive——いつ、どこまでの権限を渡したか、記憶と一致するでしょうか。
AgentForgerが利用したのは、まさにこの「接続済み」の残高でした。承認画面が出ないのは、過去の自分がすでに承認しているからです。
ワークスペースエージェントの承認設定は、検証当時、書き込み系が「Always ask」を既定としていました。その既定値を自然言語の指示で書き換えられる構造は、URLパラメータを削除しただけで解消されたのでしょうか。
【用語解説】
AgentForger（エージェントフォージャー）
今回Zenity Labsが命名した攻撃手法の名称である。従来のCSRFが「1つのリクエスト」を偽造するのに対し、「自律エージェントそのもの」を偽造すると同社は説明している。
CSRF（クロスサイト・リクエスト・フォージェリ）
Webセキュリティにおける古典的な攻撃手法。ログイン中のユーザーに細工されたリンクを踏ませ、本人の意図しない操作をブラウザに実行させる。OWASPが定義する代表的な攻撃類型の一つである。
ワークスペースエージェント（Workspace Agents）
OpenAIが提供する、業務用のAIエージェント構築・運用機能。自然言語で役割を記述するとエージェントが生成され、外部サービスと接続して定期実行できる。OpenAI自身がGPTsの発展形と位置づけている。
コネクタ（Connector）
ChatGPTと外部サービスを接続する仕組み。OAuthで一度許可すると、その接続が有効な間は再利用される。今回の攻撃は、この「すでに接続済み」の状態だけを利用することで、新たな同意画面の表示を回避した。
OAuth（オーオース）
パスワードを渡さずに、別サービスへ特定範囲のアクセス権を委任するための認可フレームワーク。許可時に表示される同意画面が、ユーザーにとって権限付与を認識する数少ない機会となる。トークンの失効や管理者による変更で、接続が無効になる場合もある。
承認ゲート／Never ask
エージェントが機微な操作を行う前に、人間の確認を求める仕組み。脆弱性検証時のワークスペースエージェントでは書き込み系の操作が「Always ask（常に確認）」を既定としていた。「Never ask（確認しない）」へ切り替えると、読み取りやアクションが自動実行される。アカウントやワークスペース、アプリによって選択できない場合がある。
プレビューモード
公開前にエージェントの挙動を試す機能。ただし下書き実行を意味するものではなく、今回の実証では実際に接続済みアカウントへ働きかけた。
プロンプトインジェクション
AIへの入力に悪意ある指示を紛れ込ませ、本来の制約を逸脱させる攻撃。サイモン・ウィリソン氏が2022年9月に、SQLインジェクションになぞらえて命名した用語である。
lethal trifecta（致命的な三要素）
サイモン・ウィリソン氏が2025年6月に提唱した概念。「機微データへのアクセス」「信頼できない入力の処理」「外部への送信手段」の3つが揃った構成を避けるべきだとする設計上の警告である。防御が数学的に不可能だと証明したものではない。
C2（コマンド・アンド・コントロール）
攻撃者が侵入先の端末やプログラムへ指令を送り、結果を受け取るための通信経路。今回はメールの送受信とスケジュール実行が、その役割を果たしていた。
信頼境界（Trust Boundary）
組織が「内側」と見なす範囲の境界線。今回の攻撃で生まれたエージェントは、新たなIDを発行されるのではなく、正規社員のIDと権限を代理使用してこの内側で動く。そのため外部からの侵入として検知しにくい。
BEC（ビジネスメール詐欺）
取引先や経営層になりすましたメールで、送金や情報提供を促す詐欺。Part 2では、この手口が自律エージェントによって実行され得ることが研究環境で実証された。
脆弱性開示プログラム（VDP）／Bugcrowd
発見された脆弱性を、企業が研究者から安全に受け取り修正するための窓口制度。Bugcrowdは、その仲介を担うプラットフォームの一つである。
EDR（Endpoint Detection and Response）
端末上の不審な挙動を検知・対処するセキュリティ製品。端末のテレメトリを中心に据えるため、クラウド内で完結する今回のような操作は捉えにくい。SaaS監査ログやDLP、メール監査との組み合わせが前提となる。
【参考リンク】
Zenity Labs（外部）
AIエージェントの攻撃・防御研究を発信するリサーチ部門。脆弱性研究やCTOによるポッドキャストを公開している。
Zenity（外部）
AIエージェントの可視化・ガバナンス・脅威防御を提供するセキュリティ企業。Zenity Labsの母体にあたる。
Introducing workspace agents in ChatGPT｜OpenAI（外部）
2026年4月22日の公式発表。接続アプリ、スケジュール実行、管理者によるRBAC制御の仕様が説明されている。
ChatGPT workspace agents for Enterprise and Business｜OpenAI Help Center（外部）
管理者向け公式ヘルプ。承認設定や制約の付け方、Enterpriseでは既定で無効である旨が記載されている。
ChatGPT Enterprise & Edu Release Notes｜OpenAI Help Center（外部）
5月22日の一般提供移行や、管理コンソールからエージェントと接続アプリを確認できる機能を伝える公式ノート。
Apps in ChatGPT｜OpenAI Help Center（外部）
コネクタの権限設定に関する公式説明。Never askが自動実行を許す高リスク設定である旨が記されている。
Cross Site Request Forgery (CSRF)｜OWASP Foundation（外部）
CSRFの標準的な定義と攻撃原理の解説。今回の攻撃が何を拡張したものかを理解する土台になる。
The lethal trifecta for AI agents｜Simon Willison’s Weblog（外部）
「致命的な三要素」の原典。3つが揃った構成を避けるべきとする、本件の理解に不可欠な論考。
Vulnerability Disclosure Programs｜Bugcrowd（外部）
脆弱性開示プログラムの公式解説。今回のOpenAIへの報告経路であり、制度の位置づけを確認できる。
【参考記事】
AgentForger, Part 2: The Autonomous Insider（外部）
稼働後の偵察、M&A文書の持ち出し、パスワードの平文送信、242,500ドルの送金依頼までを実証した続編。
Mike Takahashi｜Zenity Labs（外部）
報告者の著者ページ。ZenityのAIレッドチーム研究者としての肩書と、過去の研究記事を確認できる。
OpenAI Fixes ChatGPT Agent Flaw That Could Let Attackers Forge an AI Insider（外部）
6月4日の開示から6月8日の修正までの経緯と、過度に許容的なパラメータという原因を整理している。
One ChatGPT link could smuggle a rogue AI agent into your company（外部）
機能の有効化や作成権限など、攻撃成立に必要な組織側の前提条件を補足して報じている。
OpenAI Patches ‘AgentForger’ Flaw That Let Attackers Hijack Enterprise AI Agents via Single Link（外部）
修正までを4日と明記。実証で示された情報窃取の具体例を、対象文書ごとに整理して伝えている。
AgentForger proves AI agents can become persistent insider threats（外部）
「インストールするマルウェア」から「勧誘できる内部者」へ、脅威の性質が変化したと位置づけている。
AgentFlayer: The 0Click Threat to AI Assistants & Agents｜Zenity（外部）
2025年8月公表の前例。複数ベンダーのAIエージェントを対象としたゼロクリック攻撃の総括ページ。
