「権限の低いエージェントをハックして上位権限でコードを実行する」というGoogle ADKのハッキング手法が発見される

Googleはエンタープライズ規模の開発をサポートするエージェント開発フレームワーク「Agent Development Kit(ADK)」を公開しています。このADKに「権限の低いエージェントをハックして上位権限でコードを実行する」という攻撃を実行可能な脆弱(ぜいじゃく)性が存在することが、セキュリティ企業のPillarによって発見されました。

I'll Just Call You: Agent-to-Agent Privilege Boundary Failures in CI/CD on Google's ADK Repository
https://www.pillar.security/blog/ill-just-call-you-agent-to-agent-privilege-boundary-failures-in-ci-cd-on-googles-adk-repository

GoogleのADKはGitHubなどにAIエージェントを配置してコードのレビューなどを担わせることができるシステムです。エージェントは基本的に定められた内容のみをコメントするように設計されていますが、「プロンプトを含んだコードをプルリクエストする」という手法によってエージェントに任意のフレーズを出力させられることが明らかになりました。

例えば、以下のプルリクエストではエージェントに対して「Marker: POC-MARKER-verify-1779978519」と出力するように指示しています。

そして、プルリクエストのコメント履歴が以下。エージェントのコメント内に「Marker: POC-MARKER-verify-1779978519」というテキストが含まれています。また、エージェントはGitHubのシステム上で「ボット」ではなく「コラボレーター」として扱われており、通常は人間にしか許可されていない「メンテナー専用のワークフロー」を呼び出せることも分かりました。

上記の結果を踏まえて、Pillarはエージェントに「メンテナー専用のワークフロー」を呼び出させるためのプロンプトインジェクション攻撃を実施しました。エージェントは問題のあるプロンプトを無視するように設計されていましたが、Google公式のコントリビュートガイドに沿って悪意あるプロンプトを構築した結果、権限の低いエージェントからメンテナー専用のエージェントをトリガーして「プルリクエストの却下や承認の権限を持つメンテナー」になりすますことに成功したそうです。

PillarはGoogleに問題を報告しており、すでに軽減策が導入されたとのこと。Pillarは「今回の発見は、新たな攻撃対象領域が脅威モデルに反映されていないことを示しています。セキュリティ担当者はエージェントを用いた攻撃シナリオを検討して脅威モデルを作成し、影響範囲を確かめる必要があります」と指摘しています。