🧠

🧠 AgentNull: AI System Security Threat Catalog + Proof-of-Concepts

ローカル

research.thirdkey.ai開発ツール530 週間前に更新

リポジトリ公式サイト

🧠 AgentNull: AI System Security Threat Catalog + Proof-of-Concepts について

AgentNullは、AIシステムのセキュリティ研究向けの脅威カタログと概念実証集です。エージェント、MCP、RAG、ベクトルシステムへの攻撃例を再現可能な形で提供し、教育および許可されたテストを対象としています。

主な機能

01攻撃手法別の脅威カタログ
02概念実証コードと入出力例
03エージェント、MCP、RAGを網羅
04セキュリティツール向けJSONカタログ

活用シーン

01AIシステムの脅威範囲の整理
02許可された環境での攻撃再現
03SOCやSIEMへの脅威データ取り込み
04レッドチームおよび内部セキュリティ研究

MCP 対応

カタログはMCPやエージェントシステムへの攻撃を扱い、関連する概念実証を含みます。MCPサーバー機能を提供するとの記載はありません。

設定

ローカルサーバーの設定はどのクライアントでも共通です。コピーしてクライアントの MCP 設定ファイルに貼り付けてください。

インストール方法は未掲載です

このサーバーのパッケージやリモートエンドポイントはまだ取得できていません。プロジェクトの README の手順に従ってください。

リポジトリ

ツール

ツール一覧はまだ取得されていません

ローカルサーバーのツールはマシン上で起動して初めて取得できます。メンテナーはまだツール一覧を提供していません。

詳細

🧠 AgentNull：AI システムセキュリティ脅威カタログ＋概念実証

このリポジトリには、自律型エージェント（MCP、LangGraph、AutoGPT）、RAG パイプライン、ベクトルデータベース、埋め込みベースの検索システムなどの AI システムを標的とする攻撃ベクトルをまとめた、レッドチーム向けのカタログと、それぞれの概念実証（PoC）が収録されています。

📘 構成

catalog/AgentNull_Catalog.md — 人が読める形式の脅威カタログ
catalog/AgentNull_Catalog.json — SOC/SIEM への取り込み用に構造化されたバージョン
pocs/ — 攻撃ベクトルごとにディレクトリがあり、それぞれに独自の README、コード、入力／出力のサンプルが含まれています

⚠️ 免責事項

このリポジトリは、教育および社内セキュリティ研究のみを目的としています。ここに記載されている手法やコードを本番環境に導入したり、自身が所有していない、またはテストの明示的な許可を得ていないシステムに対して使用したりしないでください。

🔧 使用方法

各 pocs/<attack_name>/ フォルダーに移動し、README に従って攻撃シナリオを再現してください。

🤖 ローカル LLM でのテスト（推奨）

API 利用料をかけずに PoC のデモをより効果的に行うには、Ollama とローカルモデルを使用してください。

Ollama のインストール

# Linux/macOS
curl -fsSL https://ollama.ai/install.sh | sh

# Or download from https://ollama.ai/download

ローカルモデルのセットアップ

# Pull a lightweight model (recommended for testing)
ollama pull gemma3

# Or use a more capable model
ollama pull deepseek-r1
ollama pull qwen3

ローカル LLM で PoC を実行

# Advanced Tool Poisoning with real LLM
cd pocs/AdvancedToolPoisoning
python3 advanced_tool_poisoning_agent.py local

# Other PoCs work with simulation mode
cd pocs/ContextPackingAttacks
python3 context_packing_agent.py

Ollama の設定

デフォルトのエンドポイント：http://localhost:11434
モデルの選択：必要に応じて PoC ファイル内のモデル名を編集してください
パフォーマンス：Llama2（約 4GB の RAM）、Mistral（約 4GB の RAM）、CodeLlama（約 4GB の RAM）

🧩 対象となる攻撃ベクトル

🤖 MCP とエージェントシステム

⭐ フルスキーマ汚染（FSP） - 説明以外のツールスキーマ内のあらゆるフィールドを悪用します
⭐ 高度なツール汚染攻撃（ATPA） - ツールの出力を操作し、二次的なアクションを引き起こします
⭐ MCP ラグプル攻撃 - 承認後に無害な説明を悪意のある説明に差し替えます
⭐ スキーマ検証のバイパス - クライアント間の検証実装の違いを悪用します
ツール混同攻撃 - 名前の類似性を利用し、誤ったツールを使うようエージェントを誘導します
ネストされた関数呼び出しの乗っ取り - JSON に似たデータを使い、危険な関数呼び出しを引き起こします
サブプロンプトの抽出 - エージェントにシステム指示やツールを明かさせます
バックドア計画 - 複数ステップの計画に将来の意図を仕込み、情報を流出させます

🧠 メモリとコンテキストシステム

再帰的な漏えい - コンテキストの要約を通じて秘密情報が漏えいします
トークンによるガスライティング - トークンを大量に送りつけ、安全指示をコンテキストから押し出します
ヒューリスティックのドリフト注入 - 安全でないパターンを繰り返し与え、エージェントのロジックを汚染します
⭐ コンテキストパッキング攻撃 - コンテキストウィンドウをあふれさせ、安全指示を切り捨てます

🔍 RAG とベクトルシステム

⭐ クロス埋め込み汚染 - 埋め込みを操作し、悪意のあるコンテンツの検索頻度を高めます
⭐ インデックス偏向攻撃 - ベクトルインデックスを偏らせ、悪意のあるコンテンツを優先させます (理論上)
⭐ ゼロショット・ベクトルビーコン - 潜在的な活性化パターンを埋め込み、秘密裏に信号を送ります (理論上)
⭐ 埋め込みフィードバックループ - 継続学習システムを汚染します (理論上)

💻 コードとファイルシステム

隠しファイルの悪用 - エージェントに .env、.git、または内部設定ファイルを変更させます

⚡ リソースとパフォーマンス

関数の大量呼び出し - 再帰的なツール呼び出しを生成し、利用上限や API に過剰な負荷をかけます
セマンティック DoS - 無限生成や終わりのないタスクを引き起こします

🌐 エージェント型ブラウザーとアシスタントへの攻撃

EchoLeak（LLM Scope Violation） - ゼロクリックの間接プロンプトインジェクションにより、M365 Copilot 経由でデータを流出させます（Aim Labs / Varonis、CVE-2025-32711、2025 年 6 月）
Gemini Trifecta - Google Gemini の各サーフェスを対象とする、3 ベクトルの間接プロンプトインジェクションです（Tenable Research、2025 年 10 月）
CometJacking - URL ベースのプロンプトインジェクションにより、エージェント型ブラウザーの接続サービスを乗っ取ります（LayerX / Brave Security、2025 年 8 月）
Tainted Memories - AI ブラウザーの認証を介した、CSRF ベースの永続的なメモリーインジェクションです（LayerX、2025 年 10 月）
DECEPTICON - ダークパターンは人間よりもウェブエージェントを効果的に操作し、大規模なモデルほど影響を受けやすくなります（arXiv:2512.22894、2025 年 12 月）
Parallel Poisoned Web - エージェント固有のウェブクローキングにより、AI エージェントと人間に異なるコンテンツを表示します（JFrog、arXiv:2509.00124、2025 年 9 月）

🤖 マルチエージェントシステムへの攻撃

Multi-Agent Control-Flow Hijacking（MAS-CFH） - 偽のエラーメッセージにより、オーケストレーターの再計画を乗っ取ります（COLM 2025、arXiv:2503.12188）
Inter-Agent Trust Exploitation - 悪意のあるペイロードをピアエージェント経由で受け渡すことで、直接的なインジェクション防御を回避します（arXiv:2507.06850、2025 年 7 月）
A2A Protocol Exploitation - Google A2A における Agent Card の偽装、トークンの悪用、委任の連鎖です（CSA、Semgrep、arXiv:2505.12490）
Prompt Infection - マルチエージェントシステム全体に広がる、LLM から LLM へ自己複製するワームです（arXiv:2410.07283、2025 年のカンファレンス）

🧠 メモリーと永続化への攻撃

MemoryGraft - エージェントのメモリーシステムで、汚染された経験を検索させます（arXiv:2512.16962、2025 年 12 月）
Delayed Tool Invocation - ユーザーの自然な応答をきっかけに発動する、条件付きの遅延インジェクションです（Johann Rehberger / Embrace The Red、2025 年 2 月）
Zombie Agents - メモリーの自己複製を通じて、セッションをまたいで自己強化する永続的なインジェクションです（arXiv:2602.15654、2026 年 2 月）
MINJA - クエリのみのやり取りによるメモリーインジェクションで、成功率は 98.2% です（arXiv:2503.03704、NeurIPS 2025）

🔗 サプライチェーンとマーケットプレイスへの攻撃

Slopsquatting - 幻覚によって生成されたパッケージ名を悪意のあるサプライチェーンパッケージとして登録します（USENIX Security 2025）
Marketplace Skill Poisoning（OpenClaw / ClawHavoc） - 審査が不十分なスキルレジストリを悪用し、認証情報の窃取や RCE を行います（SecurityScorecard、Sangfor、2026 年 1 月～2 月）
MCP Supply Chain Backdoor - 侵害された npm パッケージが、攻撃者を BCC に含めてメールを密かに送信します（Authzed、2025 年）
s1ngularity - サプライチェーンを介して AI CLI を武器化し、認証情報を自動的に窃取します（Snyk、GitGuardian、2025 年 8 月）
LangGrinch - LangChain のシリアライゼーションインジェクションにより、プロンプトインジェクションから RCE へとつながる攻撃チェーンが可能になります（CVE-2025-68664、Cyata、2025 年 12 月）

🔓 プロトコルとサンドボックスへの攻撃

MCP Sampling Exploitation - MCP のサンプリング機能を介して、ツール呼び出しを隠蔽し、会話を乗っ取ります（Unit 42、2025 年 12 月）
Reasoning-Assisted Sandbox Escape - エージェントが自律的に推論し、サンドボックスの制御を突破します（Ona Security、2025 年）
Semantic Privilege Escalation - すべてのアクセス制御チェックを通過しながら、エージェントが許可されていない操作を行います（Acuvity、2025 年後半）

🎯 プロンプトインジェクションの進展

Phantom - チャットの区切り文字を介した構造的なテンプレートインジェクションにより、偽の会話履歴を作成します（arXiv:2602.16958、2026 年 2 月）
STAC - 一連の無害なツール呼び出しを危険なシーケンスに組み合わせる逐次ツールチェーン攻撃で、ASR は 90% 以上です（arXiv:2509.25624、2025 年 9 月）
Policy Puppetry - 設定ファイルやポリシーファイルの書式を利用した汎用的なジェイルブレイクで、すべての最先端モデルが脆弱です（HiddenLayer、2025 年 4 月）
Promptware Kill Chain - プロンプトインジェクション型マルウェアの 7 段階のキルチェーンで、実世界のインシデントを 21 件記録しています（arXiv:2601.09625、2026 年 1 月）
Chain-of-Thought Hijacking - 有害な要求を出す前に無害なパズルで推論モデルを誘導し、ASR は 99% です（arXiv:2510.26418、2025 年 10 月）

👁️ マルチモーダルおよびビジョンエージェントへの攻撃

Visual Prompt Injection - UI に視覚的に埋め込まれた指示が、スクリーンショットを介してコンピューター操作エージェントを乗っ取ります (VPI-Bench, arXiv:2506.02456, June 2025)
CrossInject - ビジョンと言語をまたぐクロスモーダルな敵対的摂動を同時に発生させます (arXiv:2504.14348, ACM MM 2025)
Flashboom - 注目度の高い注意をそらすスニペットにより LLM のコード監査担当者を盲目にし、成功率は 96.3% です (IEEE S&P 2025)

🛠️ ツール選択と乗っ取り

ToolHijacker - 悪意のあるツールドキュメントを注入してエージェントにツールを選択させます。ASR は 96.43% です (NDSS 2026, arXiv:2504.19793)
UDora - 自動化された注入ポイントの検出により推論トレースを乗っ取ります (arXiv:2503.01908, February 2025)

💻 コーディングエージェントへの攻撃

ルールファイルへのインジェクション（"Your AI, My Shell"） - .cursorrules と copilot-instructions.md を介したプロンプトインジェクションです (arXiv:2509.22040, September 2025)
ZombAI - 自己増殖するワームがコーディングエージェントをマルウェア／C2 エンドポイントに変えます (CVE-2025-53773, Embrace The Red, 2025)
AgentFlayer - 隠されたドキュメントの指示を介した、クリック不要のエンタープライズエージェントのエクスプロイトです (Zenity, Black Hat USA 2025)
メールエージェントの乗っ取り - 悪意のあるメールコンテンツを介してメールエージェントをリモート制御します。1,404 件中 1,404 件が乗っ取られました (arXiv:2507.02699, July 2025)
Gemini Calendar Worm - ワームのように自己増殖するカレンダー招待のプロンプトインジェクションです (SafeBreach, Black Hat USA 2025)

🔬 RAG ポイズニングの進展

CorruptRAG - トリガーを必要としない、単一ドキュメントによる RAG ポイズニングです (arXiv:2504.03957, April 2025)

📚 関連研究と出典

新しい攻撃ベクトル（⭐）

⭐ が付いた攻撃ベクトルは、主に AgentNull プロジェクト内で開発された新しい概念であり、既存の文書化された攻撃パターンを拡張するものです。

ThirdKey の提供

Markdown 対応

ログインしてコメント

MCP は初めてですか？

プロトコルの概要から最初のサーバーの導入まで、よくある疑問にまとめて答えます。

入門ガイドを読む

AI アプリケーションが外部のツールやデータソースに統一的な方法で接続するためのオープンなプロトコルです。クライアントはモデルとの対話を担い、MCP サーバーはツール・リソース・プロンプトテンプレートを提供します。標準メッセージでやり取りするため、1 つのサーバーを複数のクライアントで再利用できます。