[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/agent-session-smuggling-in-agent2agent-systems/) * [Spanish (LATAM)](https://unit42.paloaltonetworks.com/es-la/agent-session-smuggling-in-agent2agent-systems/) * [French](https://unit42.paloaltonetworks.com/fr/agent-session-smuggling-in-agent2agent-systems/) * [Japanese](https://unit42.paloaltonetworks.com/ja/agent-session-smuggling-in-agent2agent-systems/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/ "脆弱性") [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/) # AIエージェントが暴走するとき: A2Aシステムにおけるエージェント セッション スマグリング攻撃 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 3 分で読めます Related Products [![Code to Cloud Platform icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/prisma_RGB_logo_Icon_Color.png)Code to Cloud Platform](https://unit42.paloaltonetworks.com/ja/product-category/code-to-cloud-platform-ja/ "Code to Cloud Platform")[![Cortex icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex](https://unit42.paloaltonetworks.com/ja/product-category/cortex-ja/ "Cortex")[Cortex Cloud](https://unit42.paloaltonetworks.com/ja/product-category/cortex-cloud-ja/ "Cortex Cloud")[Unit 42 AI Security Assessment](https://unit42.paloaltonetworks.com/ja/product-category/ai-security-assessment-ja/ "Unit 42 AI Security Assessment")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Royce Lu](https://unit42.paloaltonetworks.com/ja/author/royce-lu/) * [Jay Chen](https://unit42.paloaltonetworks.com/ja/author/jay-chen/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2025年10月31日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/) * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/) * [LLM](https://unit42.paloaltonetworks.com/ja/tag/llm-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/agent-session-smuggling-in-agent2agent-systems/?pdf=download&lg=ja&_wpnonce=7c3dfffa8c "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/agent-session-smuggling-in-agent2agent-systems/?pdf=print&lg=ja&_wpnonce=7c3dfffa8c "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=AIエージェントが暴走するとき:%20A2Aシステムにおけるエージェント%20セッション%20スマグリング攻撃&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fagent-session-smuggling-in-agent2agent-systems%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fagent-session-smuggling-in-agent2agent-systems%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fagent-session-smuggling-in-agent2agent-systems%2F&title=AIエージェントが暴走するとき:%20A2Aシステムにおけるエージェント%20セッション%20スマグリング攻撃 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fagent-session-smuggling-in-agent2agent-systems%2F&text=AIエージェントが暴走するとき:%20A2Aシステムにおけるエージェント%20セッション%20スマグリング攻撃 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fagent-session-smuggling-in-agent2agent-systems%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=AIエージェントが暴走するとき:%20A2Aシステムにおけるエージェント%20セッション%20スマグリング攻撃%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fagent-session-smuggling-in-agent2agent-systems%2F "Share in Mastodon") ## エグゼクティブ サマリー 弊社は新しい攻撃手法を発見しました。エージェント セッション スマグリングと称しています。このテクニックでは、悪意のある [AI エージェント](https://unit42.paloaltonetworks.com/agentic-ai-threats/)が確立されたエージェント間通信セッションを悪用して、被害者エージェントに秘密の指示を送るものです。 本稿では、エージェント間の接続を管理するための一般的なオプションであるAgent2Agent(A2A)プロトコルを使用した通信セッションで発生する可能性のある問題について説明します。A2Aプロトコルのステートフルな動作は、エージェントが最近のやりとりを記憶し、首尾一貫した会話を維持することを可能にします。 この攻撃は、この性質を悪用して、悪意のある命令を会話に注入し、正規のクライアント リクエストやサーバー レスポンスの中に隠します。 AIの脅威の多くは、欺瞞的な電子メールや文書といった、**単一の悪意あるデータでエージェントを騙す点に焦点が当てられています**。調査を行うなかで、悪意のあるエージェントという、より高度な危険性が浮き彫りになりました。 標的となった被害者エージェントへの単純な攻撃は、ユーザーからの確認を求めることなく、文書からの有害な指示に基づいて行動するといった、エージェントを騙す**1回限りの試み（ワンショット攻撃）である場合がほとんどです**。対照的に、ローグ(不正な)エージェントははるかにダイナミックな脅威となります。会話を続け、戦略を変更し、何度もやりとりすることで誤った信頼感を築くことができるからです。 このシナリオは特に危険なものです。[最近の研究が示すように](https://arxiv.org/html/2507.06850v1)、エージェントはデフォルトで他の協力エージェントを信頼するよう設計されていることが**多いからです**。エージェント セッション スマグリングは、この組み込みの信頼を悪用し、攻撃者がセッション全体にわたって被害者エージェントを操作することを可能にします。 調査では、A2Aプロトコル自体の脆弱性は明らかにされていません。むしろ、この手法はエージェント間の暗黙の信頼関係がステートフル プロトコル(つまり、最近のやり取りを記憶し、複数回のやり取りを実行できるプロトコル)に及ぼす影響を利用していることが示唆されています。 緩和策には、以下のような重層的な防御戦略が求められます。 * 重要なアクションに対するHitL(Human-in-the-Loop)の実施 * リモート エージェント検証(暗号署名されたエージェント カードなど) * トピックから外れた指示や注入された指示を検出するためのコンテキスト グラウンディング技術 パロアルトネットワークスのお客様は、以下の製品とサービスをご利用いただくことでより強固な保護を構築いただけます。 [Prisma AIRS](https://www.paloaltonetworks.com/prisma/prisma-ai-runtime-security)は、さまざまなAIアプリケーションにおいて、脅威の検出とブロック、データ漏洩の防止、安全な使用ポリシーの実施により、AIシステムをレイヤー化し、リアルタイムで保護できるように設計されています。 [AI Access Security](https://www.paloaltonetworks.com/sase/ai-access-security)は、サードパーティの生成AIツールの使用を可視化および制御するために設計されており、ポリシーの実施とユーザー アクティビティの監視を通じて、機密データの暴露、危険なモデルの安全でない使用、有害な出力の防止を支援します。 [Cortex Cloud AI-SPM](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)は、商業モデルと自己管理モデルの両方のAI資産の自動スキャンと分類を提供し、機密データを検出してセキュリティ態勢を評価するように設計されています。コンテキストは、AIの種類、ホスティング クラウド環境、リスク状況、姿勢、データセットによって決定されます。 [Unit 42 AIセキュリティ評価](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)は、AI環境を標的とする可能性が最も高い脅威を事前に特定するのに役立ちます。 情報漏えいの可能性がある場合、または緊急の案件がある場合は、[Unit 42インシデント レスポンス チーム](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)までご連絡ください。 | **Unit 42の関連トピック** | [**GenAI**](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/), **[Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/)** | |--------------------|----------------------------------------------------------------------------------------------------------------------------------------| ## A2Aプロトコルの概要とMCPとの比較 A2Aプロトコル [A2Aプロトコル](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)は、ベンダー、アーキテクチャ、基礎技術に関係なく、AIエージェント間の相互運用可能な通信を促進するオープン スタンダードなプロトコルです。その主な目的は、エージェントが自律性とプライバシーを維持しながら、複雑な分散タスクを解決するために、互いに発見、認識、調整できるようにすることです。 A2Aプロトコルの特徴: * ローカルエージェントは、開始エージェントと同じアプリケーションまたはプロセス内で実行され、高速なインメモリ通信を可能にする。 * リモートエージェントは、独立したネットワークアクセス可能なサービスとして動作する。A2Aプロトコルを使用して安全な通信チャネルを作成し、他のシステム、あるいは他の組織から委任されたタスクを処理し、結果を返すことができる。 A2Aの基礎とセキュリティに関する考察の詳細については、以下の記事をご参照ください。[AIエージェントの保護: A2Aプロトコルのリスクと軽減策の詳細解説](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)。 A2Aは、大規模言語モデル(LLM)を外部ツールやコンテキスト データに接続するための広く利用されている標準である[モデル コンテキスト プロトコル(MCP)](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)との顕著な類似点があります。両者とも、AIシステムの相互作用を標準化することを目的としていますが、エージェント システムとは異なる側面に取り組んでいます。 * MCPは[ユニバーサルアダプター](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)として機能し、ツールやデータソースへの構造化されたアクセスを提供します。主に集中型統合モデルを通じて、LLMからツールへのコミュニケーションをサポートします。 * A2Aはエージェント間の相互運用性に重点を置いています。エージェントがタスクを委任し、情報を交換し、協調的なワークフロー全体の状態を保持することができる、分散化されたピアツーピアの調整を可能にします。 つまり、MCPがツールの統合による実行を重視するのに対し、A2Aはエージェント間のオーケストレーションを重視していると言えます。 このような違いはあるものの、表1に示すように、どちらのプロトコルも似たような脅威のクラスに直面しているのが現状です。 |----------------------------|--------------------------------------------------------------|------------------------------------------------------------------------------------------------| | **攻撃/脅威** | **MCP** | **A2A** | | ツール/エージェント デスクリプション ポイズニング | ツール ディスクリプションには、ツールの選択や実行時にLLMの動作を操作する悪意のある命令が混入する可能性がある。 | AgentCardのディスクリプションは、プロンプト インジェクション攻撃や、消費されたときのクライアント エージェントの振る舞いを操作する悪意のあるディレクティブを埋め込むことができる。 | | ラグ プル アタック | 以前は信頼されていたMCPサーバーが、統合後に予期せず悪意のある動作に移行し、確立された信頼関係を悪用する可能性がある。 | 信頼されたエージェントが、エージェント カードや操作ロジックを更新することで、予期せず悪意のあるエージェントになる可能性がある。 | | ツール／エージェント シャドウイング | 悪意のあるサーバーが、正規のツールと同一または類似した名前でツールを登録し、ツール選択時に混乱を招く。 | 不正エージェントは、類似した名前、スキル、またはタイポ スクワッティング技術によって正規エージェントを模倣したエージェントカードを作成する。 | | パラメータ／スキル ポイズニング | ツールのパラメータを操作して、外部サーバーへのリクエストに意図しないデータ(会話履歴など)を含めることができる。 | AgentCardのスキルと例は、エージェントの対話方法を操作する**ように細工することが可能であり**、機密性の高いコンテキストや認証情報を公開する可能性がある。 | 表1. MCP攻撃とA2A攻撃の比較。 ## エージェント セッション スマグリング攻撃 エージェント セッション スマグリングは、A2Aシステムのようなステートフルなエージェント間通信に特有の新しい攻撃ベクトルです。通信がステートフルであるのは、最近のやりとりを記憶している場合であり、たとえば、両者が進行中のコンテクストを追跡している会話のようなものです。 攻撃の核心は、**悪意のあるリモート エージェントが進行中のセッションを悪用し、** 正当なクライアント リクエストとサーバーのレスポンスの間に**追加命令を注入する点にあります**。これらの隠された命令は、コンテキスト ポイズニング(AIが会話を理解するのを妨害すること)、データ窃取、またはクライアント エージェント上での不正なツールの実行につながる可能性があります。 図1に攻撃シーケンスの概要を示します。 * \*\*ステップ1:\*\*クライアント エージェントは、リモート エージェントに通常のリクエストを送ることで、新しいセッションを開始。 * \*\*ステップ2:\*\*リモートエージェントはリクエストの処理を開始。このアクティブなセッションの間、リモートエージェントはクライアント エージェントに対し、複数回のやり取りにわたって密かに余分な指示を送ります。 * \*\*ステップ3:\*\*リモート エージェントは、元のリクエストに対する期待される応答を返し、トランザクショ ンを完了します。 ![サイバーセキュリティ攻撃のプロセスを示す図。左側が被害者クライアント エージェント、右側が悪意のあるリモート エージェント。ステップは次の通りとなっている。1) クライアントからのリクエスト。2) 悪意ある行為。3) サーバーの応答。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/word-image-909090-165209-1.png) 図1.エージェント セッション スマグリング攻撃の流れ。 **攻撃の主な特徴** * **ステートフル:** この攻撃は、リモート エージェントが長時間実行するタスクを管理し、セッションの状態を持続させる機能を利用するものです。人が**会話の文脈を記憶しながら対話を続けるように**、エージェントが対話の文脈を保存することを意味します。ステートフルとは、エージェントが複数のターンにわたってセッション固有の情報を保持し、参照することを意味するので(例えば、セッションIDに結びついた会話履歴、変数やタスクの進捗状況)、後のメッセージは以前のコンテキストに依存することができます。 * **マルチターン インタラクション:** ステートフルであるため、接続された2つのエージェントはマルチターンで会話することができます。悪意のあるエージェントはこれを悪用し、段階的で適応的なマルチターン攻撃を展開します。先行研究では、こうした攻撃に対する防御が著しく困難であることが示されています(例:「[LLM防御はマルチターン型人間による脱獄攻撃に対して未だ堅牢ではない](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)」を参照)。 * \*\*自自律的かつ適応的:\*\*AIモデルを搭載した悪意のあるエージェントは、クライアントの入力、中間応答、ユーザーIDなどのライブ コンテキストに基づいて動的に指示を作成することができます。 * \*\*エンドユーザーに検出されない:\*\*注入された命令はセッションの途中で発生するため、エンドユーザーには見えません。エンドユーザーは通常、クライアント エージェントからの最終的な統合された応答しか確認しないからです。 原理的には、ステートフルなエージェント間通信を行うマルチ エージェント システムであれば、この攻撃を受ける可能性があります。しかし、単一のトラスト バウンダリーに完全に含まれるセットアップでは、リスクは低くなります。信頼境界とは、システム内の領域であり、そこではすべてのコンポーネントがデフォルトで信頼されます。例えば、[ADK](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)や[LangGraph](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)といったマルチ エージェント システムでは、1人の管理者が参加するすべてのエージェントを制御します。 そのため、弊社の調査は、信頼境界を越えた相互運用性を実現するために設計されたA2Aプロトコルに焦点を当てています。この相互運用性は、エージェントは異なるシステム、モジュール、組織間での連携を実現するものです。 既知のMCPの脅威と比較して、エージェント セッション スマグリングは、MCPでは不可能な方法で、A2Aのステートフルで適応性のある設計を悪用します。MCPサーバーは一般的にステートレス方式で動作し、セッション履歴を保持せずに独立したツール呼び出しを実行するため、アクターがそれらを利用して複数ターンにわたる攻撃や進化型攻撃を仕掛ける能力が制限されます。 また、MCPサーバーはAIモデルに依存しないため、一般的に静的で決定論的であるとされます。対照的に、A2Aサーバーは、相互作用に渡って状態を持続し、モデル駆動型の推論を活用することができるため、悪意のあるエージェントが複数のターンにわたって指示を適応させ、改良することができます。この持続性と自律性の組み合わせにより、エージェント セッション スマグリングは、MCPベースの攻撃よりもステルス性が高く、防御が難しくなっています。 ## エージェント セッション スマグリング攻撃の概念実証 エージェント セッション スマグリング攻撃の実現可能性と潜在的な影響を実証するために、弊社は2つの概念実証(PoC)攻撃シナリオを開発しました。セットアップは、財務アシスタント(クライアント エージェント)とリサーチ アシスタント(悪意のあるリモート エージェント)で構成されています。これらのPoCは、悪意のあるエージェントがエンドユーザーに気づかれることなく機密データを盗み出し、不正なアクションを実行する方法を説明するものです。 1. \*\*機密情報の漏洩:\*\*クライアント エージェントからの機密データの抽出 2. \*\*不正なツール起動:\*\*クライアント エージェントに、被害者ユーザーに代わって不正なアクションを実行するように仕向ける **環境設定:** * 開発フレームワーク: [Google Agent Development Kit](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) * エージェント間通信プロトコル: [A2A](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) * クライアント エージェント[ADKの財務アドバイザー](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)例に基づく財務アシスタント。エージェントは、金融ニュースの取得、ポートフォリオの管理、取引操作の実行などのタスクをサポートする。 * モデル:[Gemini 2.5 Pro](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) * 利用可能なツール: get\_portfolio、get\_profile、buy\_stock、sell\_stock * リモート エージェント: ADKから転用されたリサーチ アシスタント[data\_analyst](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)の例を参考。本来の役割は、企業のニュースを取得し、要約するもの。 * モデル:[Gemini 2.5 Flash](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) * 利用可能なツール: [Google検索](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) * ユーザー インターフェイス: [ADK Developer Web UI](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) ### PoC 1: 機密情報の漏洩 このシナリオでは、悪意のあるリモート エージェント(リサーチ アシスタント)が、クライアント エージェント(財務アシスタント)の内部状態のデータ窃取を試みるものです。窃取対象は以下を含みます。 * チャット履歴 * システムの説明 * 利用可能なツール * ツール スキーマ 攻撃は**巧妙に** （あるいは**気づかれないように** ）展開します。財務アシスタントから正当な要求を受けると、リサーチ アシスタントは一見無害に見える明確な質問を次々と投げかけます。こうしたフォローアップの質問は、財務アシスタントを徐々に騙して、決してその環境から離れるべきではない機密情報を**開示させてしまいます**。 図2はユーザーのインタラクションの流れを示したものです。セッションは普通に始まります。ユーザーは財務アシスタントに投資ポートフォリオとプロフィールの取得を依頼し、続いてAIマーケット ニュースのブリーフィングを依頼します。 このマーケットニュースの依頼はリサーチ アシスタントに委ねられます。図の右側に示すように、リサーチ アシスタントは財務アシスタントと一連のやりとりを行います。最初のリクエストと最後の応答を除いて、リサーチ アシスタントはすべての中間的なやりとりを注入します。 図2に示された中間ステップは、開発者のWebユーザー インターフェイス(UI)がすべての内部アクションを表示するように設計されているため、表示されていますが、本番のチャットボットUIでは、このような中間的なインタラクションは多くの場合見えないままとなります。 ![チャット インターフェイスの分割画面表示イメージ。左側では、ユーザーが黄色で強調表示された財務アシスタント ボットにポートフォリオの更新を依頼している。右側のフローチャートは、さまざまなデータ要求と応答を伴うユーザーとボットの一連のやりとりを示しており、緑と黄色で強調されている。最初の依頼はリサーチ アシスタントへのもの。そして、財務アシスタントとリサーチ アシスタントとの間には、意図しない相互作用があることが分かる。最後の項目は、リサーチ アシスタントからの最後の回答である。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/word-image-911768-165209-2.png) 図2.デベロッパーのWeb UI。右側は財務アシスタントとリサーチ アシスタント間の内部交流を示す。 図3は、財務アシスタントの活動ログを通して、より詳細なビューを示したものです。第10行はリサーチ アシスタントに送られた最初のクエリを示し、第28行はリサーチ エージェントが生成した最終結果を示します。11行目から27行目までは、function\_callとfunction\_responseが交互に表示され、2つのエージェント間の相互作用が明らかにされています。そのやりとりの中で、財務アシスタントは徐々にそのシステム構成とユーザーの過去の会話履歴を開示していったことが分かります。 ![統合開発環境(IDE)内のコードとテキストを表示するコンピューター画面のスクリーンショット。人工知能の市場動向を分析し、関数呼び出しと顧客IDに言及している。いくつかのセクションは黄色のボックスで強調表示されている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/word-image-915237-165209-3.png) 図3.財務アシスタントの行動ログには、意図しないスマグリングのやりとりが記録されている。 最後に、図4は攻撃後のリサーチ アシスタントのログを示したものです。財務アシスタントの機能、ツール スキーマ、セッション履歴全体を含む、データ窃取の成功を確認することができます。 ![様々な投資ポートフォリオの詳細を表示する財務アドバイザーのコマンドライン インターフェイスのスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/word-image-917771-165209-4.png) 図4.窃取した設定データを示すリサーチ アシスタントのログ。 ### PoC2: ツールの不正起動 このシナリオでは、悪意のあるリモート エージェント(リサーチ アシスタント)は、クライアント エージェント(財務アシスタント)を騙して不正な取引を実行させようとしています。攻撃者の目的は、クライアント エージェントのbuy\_stockツールを、エンド ユーザーの認識や同意なしに悪用することです。 有効な委任要求を受信した後、リサーチ アシスタントは追加の処理要求を送信し、財務アシスタントにユーザーの元の要求とは無関係なツールの起動を実行するよう促します。このPoCは、攻撃者が財務アシスタントのツールを知っており、公開情報または前回のPoCで入手したことを前提とするものです。 図5は、ユーザーのインタラクションの流れを示したものです。右側では、ユーザーのニュース リクエストがリサーチ アシスタントに委ねられていることが分かります。リサーチ アシスタントは期待されたニュースの要約を提供する一方で、財務アシスタントがbuy\_stockツールを起動するよう誘導する隠された指示もスマグリングしています。繰り返しますが、これらの中間処理は自律的に実行されており、一般的な本番チャットボットのインターフェースではユーザーには最終的な要約応答のみが表示されるため、これらの処理はユーザーには不可視のままとなります。 ![財務アシスタントとリサーチ アシスタント間のコミュニケーションのスクリーンショット。左は財務アシスタント。右側はリサーチ アシスタントで、最初のリクエストはリサーチ アシスタントに送られている。財務アシスタントとリサーチ アシスタントとの間には、意図しない相互作用があることが分かる。リサーチ アシスタントからの最終回答がある。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/word-image-920459-165209-5.png) 図5.スマグリングされた指示を含む、財務アシスタントとリサーチ アシスタント間のコミュニケーションを示す開発者のWeb UI。 図6は財務アシスタントのアクティビティ ログを示したものです。7行目はリサーチ アシスタントに送られた最初のリクエストで、12行目は受け取った正当なレスポンスです。しかし、8行目から11行目にかけて、財務アシスタントが自律的に実行した4つのアクションが追加され、被害者ユーザーに代わって10株の不正取引が行われたことが分かります。この一連の流れは、エージェント セッション スマグリングが、情報漏洩から影響力の大きいツールの実行へとどのようにエスカレートするかを説明するものです。 ![統合開発環境(IDE)でコードを表示するコンピュータ画面のスクリーンショット。株式調査と取引活動に関連する特定の機能とその反応を強調する注釈が付されている。ハイライトされている部分は、buy\_stock()ツールの起動と応答を示す。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/word-image-923785-165209-6.png) 図6.財務アシスタントのアクティビティ ログには、スマグリングされた指示が引き金となった不正な株式購入が記録されている。 ## 緩和措置と保護 エージェント セッション スマグリングに対する防御には、エージェントのアイデンティティ、会話の完全性、および実行されたアクションの影響を検証する多層セキュリティ アプローチが必要です。 以下の戦略は、リスクを軽減するのに役立ちます。 * \*\*機密性の高いアクションに対して、帯域外の確認を強制する:\*\*最も効果的な防衛策は、機密性の高い行動や影響力の大きい行動にはHitLの承認を必要とすることですが、この確認はLLMが影響力を行使できない別のチャンネルを通じて、帯域外で行われる必要があります。エージェントがクリティカルなタスクの実行を指示されたとき、オーケストレーション フレームワークは実行を一時停止すべきです。そして、アプリケーションUIの静的な（動的に生成されない）部分で、あるいはプッシュ通知のような別のシステムを通じて、確認プロンプトをトリガーすることが求められます。 * **コンテキストの\*\*グラウンディング（文脈の紐付け）を実施する:** エージェント セッション スマグリング攻撃は、悪意のあるコマンドを注入するうえで、本来の目的から会話を脱線させることに依存しています。コンテキスト グラウンディングは、会話の整合性をアルゴリズムで強制する技術的なコントロールです。クライアント エージェントがセッションを開始するとき、元のユーザー リクエストの意図に基づいてタスク アンカーを作成することが重要となります。やりとりが進むにつれて、クライアントは、リモートエージェントの指示がこのアンカーと意味的に一致していることを継続的に検証する必要があります。重大な逸脱や無関係なトピックが注入された際は、クライアント エージェント**が** ハイジャックの可能性があると**判断し** 、セッションを**終了するよう構成する必要があります**。 * **エージェントの身元と能力を検証する:** セキュアなエージェント間通信は、検証可能な信頼の基盤の上に構築されている必要があります。セッションを開始する前に、エージェントは[暗号署名付きAgentCard](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)などの検証可能な認証情報を提示することが**求められます**。これにより、各参加者は相手の身元、出所、宣言された能力を確認することができるようになります。このコントロールは、信頼されたエージェントが破壊されることを防ぐものではありませんが、エージェントのなりすましやなりすまし攻撃のリスクを排除し、監査可能で改ざん不可能なすべての対話の記録を確立します。 * \*\*クライアントエージェントの活動をユーザーに公開する:\*\*スマグリングされた指示やアクティビティは、エンドユーザーには見えません。エンドユーザーは通常、クライアント エージェントからの最終的なレスポンスしか見ないからです。UIは、リアルタイムのエージェントの活動を公開することで、この弱点を減らすことができます。例えば、ツール呼び出しの可視化、ライブ実行ログの表示、リモート命令の視覚的インジケータの提供などが検討できます。これらのシグナルはユーザーの意識を向上させ、不審な行動をキャッチする可能性を高めるものです。 ## 結論 本調査では、A2Aシステムにおけるエージェント間の通信を標的とした新しい攻撃手法である、エージェント セッション スマグリング攻撃を紹介しました。悪意のあるツールやエンドユーザーを含む脅威とは異なり、侵害されたエージェントは、より強力（または「厄介な」）敵対者となります。AIモデルにより、侵害されたエージェントは、自律的に適応戦略を生成し、セッションの状態を悪用し、接続されているすべてのクライアント エージェントとそのユーザー全体に影響力を拡大することができます。 本稿執筆時点では、この攻撃が実際に悪用された事例は観測されていません。しかし実行への障壁が低いため、現実的なリスクであるとしています。敵対者は、被害者エージェントに悪意のあるピアに接続するよう説得するだけでよく、その後、ユーザーの目に触れることなく秘密の命令を注入することができるためです。このような攻撃から組織を守るには、以下を含む多層の防御策を講じる必要があります。 * 機微な行動に対するHitL承認 * モデル プロンプトの外側で強制される確認ロジック * コンテキスト グラウンディングによるトピックから外れた指示の検出とリモート エージェントの暗号検証 マルチエージェントエコシステムが拡大するにつれて、その相互運用性は新たなアタックサーフェスを広げるものとなります。セキュリティ実務者は、エージェント間通信を本質的に信頼すべきではないという前提に立つ必要があります。また、何重ものセーフガードを備えたオーケストレーション フレームワークを構築して、適応力のあるAIを搭載した敵のリスクを封じ込める必要があります。 ### パロアルトネットワークスの保護と緩和策 [Prisma AIRS](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)は、AIアプリケーション、モデル、データ、エージェントをリアルタイムで保護できるように設計されています。ネットワーク トラフィックとアプリケーションの挙動を分析し、プロンプト インジェクション、サービス拒否攻撃、データ窃取などの脅威を検出し、ネットワークとAPIレベルでインライン実施します。 [AI Access Security](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)は、サードパーティの生成AIツールの使用を可視化および制御するために設計されており、ポリシーの実施とユーザー アクティビティの監視を通じて、機密データの暴露、危険なモデルの安全でない使用、有害な出力の防止を支援します。Prisma AIRSとAI Access Securityを併用することで、企業のAIアプリケーションの構築や外部とのAIインタラクションの安全性を確保することができます。 [Cortex Cloud AI-SPM](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)は、商業モデルと自己管理モデルの両方のAI資産の自動スキャンと分類を提供し、機密データを検出してセキュリティ態勢を評価するように設計されています。コンテキストは、AIの種類、ホスティング クラウド環境、リスク状況、姿勢、データセットによって決定されます。 [Unit 42 AIセキュリティ評価](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)は、AI環境を標的とする可能性が最も高い脅威を事前に特定するのに役立ちます。 情報漏えいの可能性がある場合、または緊急の案件がある場合は、[Unit 42インシデント レスポンス チーム](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)までご連絡ください。 * 北米:フリーダイヤル: +1 (866) 486-4842 (866.4.UNIT42) * 英国: +44.20.3743.3660 * ヨーロッパおよび中東: +31.20.299.3130 * アジア: +65.6983.8730 * 日本: +81.50.1790.0200 * オーストラリア: +61.2.4062.7950 * インド: 00080005045107 パロアルトネットワークスは、本調査結果をサイバー脅威アライアンス(CTA)のメンバーと共有しています。CTAの会員は、この情報を利用して、その顧客に対して迅速に保護を提供し、悪意のあるサイバー アクターを組織的に妨害しています。[サイバー脅威アライアンス](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management)について詳細を見る。 ## 参考文献 * [LLMの暗黒面 コンピュータ完全乗っ取りのためのエージェントベース攻撃](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) - Matteo Lupinacciほか共著, arXiv:2507.06850 * [ADKのマルチ エージェント システム](https://www.paloaltonetworks.com/cortex/cloud/ai-security-posture-management) - Agent Development Kit, Google GitHub * [グラフAPIの概要](https://langchain-ai.github.io/langgraph/concepts/multi_agent/) - LangChain * [A2A プロトコル](https://a2a-protocol.org/latest/) - Linux財団 * [モデル コンテキスト プロトコル(MCP)](https://modelcontextprotocol.io/docs/getting-started/intro) - Model Context Protocol * [LLM防御はまだ人間の多回転脱獄に頑強ではない](https://scale.com/research/mhj)- Nathaniel Liほか共著, Scale * [Google エージェント開発キット](https://google.github.io/adk-docs/) - Agent Development Kit, Google GitHub * [Google adk-samples](https://github.com/google/adk-samples/tree/main/python/agents/financial-advisor)- Google GitHub * [Gemini 2.5 Pro \[PDF\]](https://modelcards.withgoogle.com/assets/documents/gemini-2.5-pro.pdf) -- Google * [Gemini 2.5 Flash](https://storage.googleapis.com/deepmind-media/Model-Cards/Gemini-2-5-Flash-Model-Card.pdf) -- Google * [ADK Google Search Tool](https://google.github.io/adk-docs/tools/built-in-tools/#google-search) -- Google GitHub * [ADK Developer Web UI](https://github.com/google/adk-web) -- Google GitHub * [Sigstore A2A](https://github.com/sigstore/sigstore-a2a) -- Google GitHub トップに戻る ### タグ * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [LLM](https://unit42.paloaltonetworks.com/ja/tag/llm-ja/ "LLM") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:国家レベルの脅威と疑われる脅威アクターがサプライチェーン攻撃で新マルウェア「Airstalk」を使用](https://unit42.paloaltonetworks.com/ja/new-windows-based-malware-family-airstalk/ "国家レベルの脅威と疑われる脅威アクターがサプライチェーン攻撃で新マルウェア「Airstalk」を使用") ### 目次 * ### 関連記事 * [脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "article - table of contents") * [ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "article - table of contents") * [AIのデュアルユースのジレンマ：悪意あるLLM](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/ "article - table of contents") ## 関連項目 脆弱性 リソース ![Pictorial representation of a severe Linux vulnerability. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/05_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年5月5日 [#### Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/) * [Containers](https://unit42.paloaltonetworks.com/ja/tag/containers-ja/ "Containers") * [CVE-2026-31431](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-31431/ "CVE-2026-31431") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/ "Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識") ![Pictorial representation of BeyondTrust vulnerability CVE-2026-1731. Digital art depicting a stylized mountain range with vibrant blue and red hues. The peaks are accentuated by glowing particles and an abstract, starry backdrop, creating a futuristic landscape.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/14_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月19日 [#### BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/) * [Bash](https://unit42.paloaltonetworks.com/ja/tag/bash-ja/ "bash") * [CVE-2026-1731](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1731/ "CVE-2026-1731") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/ "BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認") ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/AdobeStock_1020436911-786x440.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月17日 [#### 野放し状態で悪用されているIvanti EPMMの深刻な脆弱性](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/) * [CVE-2026-1281](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1281/ "CVE-2026-1281") * [CVE-2026-1340](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1340/ "CVE-2026-1340") * [Ivanti](https://unit42.paloaltonetworks.com/ja/tag/ivanti-ja/ "Ivanti") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/ "野放し状態で悪用されているIvanti EPMMの深刻な脆弱性") ![Pictorial representation of CVE-2025-0921. Digital illustration of a map of North America with interconnected glowing lines and dots symbolizing network connections across the continent.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/06_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月30日 [#### SCADAシステムに存在する特権ファイルシステムの脆弱性](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/) * [CVE-2025-0921](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-0921/ "CVE-2025-0921") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") * [SCADA](https://unit42.paloaltonetworks.com/ja/tag/scada/ "SCADA") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/ "SCADAシステムに存在する特権ファイルシステムの脆弱性") ![Pictorial representation of remote code execution in AI and machine learning libraries. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/05_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月13日 [#### 最新のAI/MLフォーマットとライブラリによるリモート コード実行](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/) * [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple") * [CVE-2025-23304](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-23304/ "CVE-2025-23304") * [CVE-2026-22584](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-22584/ "CVE-2026-22584") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/ "最新のAI/MLフォーマットとライブラリによるリモート コード実行") ![Pictorial representation of MongoBleed, CVE-2025-14847. Digital image featuring a glowing padlock icon superimposed on a background of streaming blue binary code, symbolizing cybersecurity.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/AdobeStock_233494953-786x429.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年1月13日 [#### 脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/) * [CVE-2025-14847](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-14847/ "CVE-2025-14847") * [MongoDB](https://unit42.paloaltonetworks.com/ja/tag/mongodb-ja/ "MongoDB") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/ "脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)") ![Pictorial representation of CVE-2025-55182 (React) and CVE-2025-66478 (Next.js). Close-up of a digital display on electronic equipment with illuminated text reading "SYSTEM HACKED" in red, set against a blurred background of blue and red lights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/02_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年12月12日 [#### React Server Components における重大な脆弱性の悪用 (12月12日更新)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/) * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [CVE-2025-66478](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-66478-ja/ "CVE-2025-66478") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/ "React Server Components における重大な脆弱性の悪用 (12月12日更新)") ![Pictorial representation of an authentication coercion attack. Panoramic view of a city skyline at night, featuring vibrant light beams from skyscrapers and a deep blue sky.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/07_Vulnerabilities_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月10日 [#### 新たなアップデート。進化し続ける強制認証テクニック](https://unit42.paloaltonetworks.com/ja/authentication-coercion/) * [Mimikatz](https://unit42.paloaltonetworks.com/ja/tag/mimikatz-ja/ "Mimikatz") * [PrintNightmare](https://unit42.paloaltonetworks.com/ja/tag/printnightmare-ja/ "PrintNightmare") * [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/authentication-coercion/ "新たなアップデート。進化し続ける強制認証テクニック") ![Pictorial representation of LANDFALL spyware. An illustration of a glowing red warning icon centered on a detailed blue circuit board background, representing a vulnerability in Samsung Galaxy devices.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/09_Nation-State-cyberattacks_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月7日 [#### LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/) * [Android](https://unit42.paloaltonetworks.com/ja/tag/android-ja/ "Android") * [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple") * [CVE-2025-21042](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-21042-ja/ "CVE-2025-21042") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/ "LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア") ![Pictorial representation of CVE-2025-59287. Digital image of a glowing padlock symbol representing cybersecurity on a network grid with blue and orange lights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/08_DNS_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年11月3日 [#### Microsoft WSUSのリモートコード実行の脆弱性（CVE-2025-59287）、実環境における活発な悪用を確認（11月3日更新）](https://unit42.paloaltonetworks.com/ja/microsoft-cve-2025-59287/) * [CVE-2025-59287](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-59287-ja/ "CVE-2025-59287") * [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft") * [Microsoft Vulnerability](https://unit42.paloaltonetworks.com/ja/tag/microsoft-vulnerability-ja/ "Microsoft Vulnerability") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/microsoft-cve-2025-59287/ "Microsoft WSUSのリモートコード実行の脆弱性（CVE-2025-59287）、実環境における活発な悪用を確認（11月3日更新）") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)