チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ChatGPTのリンクをクリックするだけで会社の情報が盗まれるってどういうことでしゅ？」
「AIエージェントが勝手に作られて動き回るなんて、怖すぎでしゅ……」
チップスボスー！フィッシングリンク1本でChatGPTに偽のAIエージェントが作られて、会社のSlackやメールが全部覗かれるって聞きましたでしゅ。これ本当でしゅか！？
ボス本当だ。セキュリティ企業Zenity Labsが「AgentForger」と名付けたCSRF系の脆弱性を発見した。ログイン中の従業員がリンクをクリックするだけで、攻撃者が制御する不正AIエージェントが企業のWorkspace内に展開されてしまう。AIエージェント時代に生まれた新しい攻撃だな。
業務効率化のためにChatGPTのAIエージェント機能を導入する企業は急速に増えています。
しかし今回の「AgentForger」脆弱性は、その「自律性」が攻撃者に逆用される危険を明らかにしました。
OpenAIは既にパッチを適用済みですが、AIエージェントが生み出す新たな攻撃面は今後も拡大し続けます。
この記事では、AgentForger脆弱性の仕組みと、AIエージェントを導入する企業が今すぐ知っておくべきリスクを解説します。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
2026年7月24日、セキュリティ企業Zenity Labsは「AgentForger」と呼ばれる脆弱性を公表しました。
この脆弱性の根本原因は、ChatGPT Agent BuilderがURLの「initial_assistant_prompt」パラメータを確認なしに自動実行する設計にありました。
攻撃者はこのパラメータに悪意ある指示を埋め込んだURLを作成し、フィッシングメールで標的の従業員に送ります。
ログイン状態の被害者がリンクをクリックするだけで、指示が自動的に実行され、攻撃者が制御するAIエージェントが被害者のWorkspace内に作成されます。
攻撃が成立する条件は以下の通りです。
Zenity Labsは脆弱性を2026年6月4日にBugcrowd経由でOpenAIへ報告しました。
報告24時間以内にトリアージが完了し、わずか4日後の6月8日には脆弱なURLパラメータのハンドラを削除するパッチが適用されています。
公開前の積極的な悪用は確認されていません。
チップスSlackもGmailも全部ChatGPTにつないでいる会社は特に危なかったってことでしゅか……？
ボス連携サービスが多いほど攻撃の効果が大きくなる、ということだ。ただし現時点ではパッチ済みだから安心していい。問題は「同じ設計の欠陥が他のAIエージェントプラットフォームにも潜んでいる可能性がある」という点だな。
AgentForger攻撃は「フィッシングリンクをクリックする」という単純なトリガーから始まりながら、その後の被害は非常に広範囲に及びます。
被害者がフィッシングリンクをクリックすると、ChatGPT Agent Builderが自動起動し、指示に基づくエージェントの構成が始まります。
生成されたエージェントは、連携済みのOutlook・Gmail・Slackなどのコネクタに対して「Never ask（承認不要）」設定を自動適用します。
つまり、以降の操作はすべて被害者の確認なしで実行可能になります。スケジュール実行を設定することで、エージェントは組織内で自律的に動き続けます。
このエージェントが実行できる具体的な攻撃として、以下が挙げられます。
Zenity Labsは、AgentForgerが従来のCSRFと根本的に異なると指摘しています。
従来のCSRFが「単一のリクエストを偽造するもの」だったのに対し、AgentForgerは「組織の信頼境界内で自律的に動作するAIエージェント全体を偽造する」攻撃です。
一度展開されたエージェントは永続的なオペレータとなり、攻撃者がいない間も偵察・情報収集・横展開を続けます。
| 比較項目 | 従来のCSRF | AgentForger |
|---|---|---|
| 偽造する対象 | 単一のHTTPリクエスト | 自律AIエージェント全体 |
| 持続性 | 一度限り | スケジュール実行で永続化 |
| 被害範囲 | 特定の操作のみ | 連携サービス全体（メール・チャット・ストレージ） |
チップスAIエージェントの「自律性」というメリットそのものが、攻撃者に逆用されてしまったってことでしゅね……！
ボスその通りだ。AIエージェントの「自律性」「多サービス連携」「永続実行」というメリットが、そのまま攻撃面の拡大につながる。これがAIセキュリティの核心的な課題だな。
ChatGPT「AgentForger」脆弱性は既にパッチ適用済みですが、この事例が示す教訓は普遍的なものです。
AIエージェントを導入する企業は、外部サービスとの連携権限を必要最小限に絞ること、エージェントの動作ログを定期的に監査すること、そして不審なリンクへのクリックを防ぐ従業員教育を徹底することが重要です。
AIエージェントの攻撃面は今後さらに拡大します。セキュリティ対策もAIの進化と同じ速度でアップデートし続ける必要があります。
チップスChatGPTだけじゃなく、他のAIエージェントツールも同じリスクがあるってことでしゅよね。連携権限の見直しをしてみるでしゅ！
ボスふふふ、よく分かったな。AIの便利さとリスクの両面を常に意識できるセキュリティエンジニアを目指すことだな。
オススメ求人・フリーランス案件
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収630~732万・東京】情報セキュリティ課長代理・野村不動産
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【新潟】セキュリティエンジニア｜業界No.1自社SaaS企業｜年収450〜650万円
