詳細を読む
OWASPの生成AIセキュリティプロジェクトを率いるロック・ランブロス氏とスティーブ・ウィルソン氏は8月18日、LLMアプリケーション向けOWASPトップ10でプロンプトインジェクションが専門家投票1位である一方、6639件の実被害記録では12位にとどまるとの分析をarXivで発表しました。公式ランキングに取って代わるものではないと両氏は断っています。
分析では、CVEやGitHubセキュリティアドバイザリー、OSV、AIAAICデータベースから集めた7714件のLLMセキュリティインシデントのうち6639件を20項目の分類体系に基づいてラベル付けし、ベイズモデルで分類誤差を補正した上で専門家投票と比較しました。その結果、両者の一致度を示すコーエンのカッパ係数は0.20にとどまり、90%信頼区間はマイナス0.16から0.57にまたがりました。区間がゼロをまたぐため、偶然の一致である可能性を否定できないと両氏は指摘しています。
プロンプトインジェクションはログやサポートチケット、検索で取得した文書などに命令を紛れ込ませる攻撃です。エージェントは正規に保有する権限を使って攻撃者の意図通りにツールを呼び出すため、製品の欠陥とはみなされずCVEとして記録されません。ウィルソン氏は、モデル内のプロンプトで書かれたルールは提案にすぎず強制力のある制御にはならないと述べ、モデルの外側で権限を制御する認可ゲートの導入を最優先の対策として挙げました。
専門家評価と実被害記録の乖離はプロンプトインジェクションにとどまりません。誤情報は専門家投票で13位ですが実被害記録では2位に浮上しており、論文は両者の不一致確率を99%と算出し最も意見が割れた項目と位置づけました。一方、エージェントの記憶汚染やMCPツールインターフェースの悪用といった新しい脅威は、実被害の順位区間が6位から20位まで広がるほどデータが乏しく、それでもすでに深刻度の高いCVEが報告されています。
OWASPは8月4日、実被害データを25%、専門家投票を75%の比率で組み合わせた最新版トップ10を公開し、プロンプトインジェクションは1位を維持した一方、過剰な権限(Excessive Agency)は6位から3位に上昇しました。ランブロス氏は、分類ごとに分類器の精度が9割から1割強までばらつく点を踏まえ、次回以降は信頼度に応じて重み付けを見直すべきだと提案しています。
両氏は、企業がOWASPトップ10を優先順位そのものではなく網羅性を確認する地図として使い、自社のシステムが実際に何をしているかをプロンプトや呼び出したツール、確信度スコアまで記録すべきだと助言しています。アイバンティの調査では、セキュリティチームの87%がエージェント型AIの導入を優先課題に挙げる一方、77%が人の確認なしにAIを行動させることに一定の抵抗感を持たないと回答しており、専門家評価と実被害データが一致しない現状のままAIエージェントの自律性拡大が進んでいる実態が浮かび上がります。