金融分野に展開されたAIエージェントは、まったく普通のコンテンツ、すなわちメール、共有ドキュメント、サポートチケットなどによって乗っ取られ、認証情報の窃取、金融口座からの資金流出、機密データの持ち出しを行う道具に変わり得る。しかも、被害者が一切の過誤を犯すことなく起こり得る。これが、セキュリティ企業ClawSecureが公開したThe AI Agent Threat Reportの中心的な調査結果である。

ClawSecureは2026年5月から7月にかけて実施された調査に基づき、このレポートを2026年9月24日に2巻構成で公開した。その調査結果は、金融向けAIエージェントの導入を検討するすべての人に直接関わる内容だ。問題となる攻撃手法はプロンプトインジェクションであり、エージェントが読み込むコンテンツに埋め込まれた隠れた指示が、システムの本来の動作を上書きするものである。

「AIエージェントはすでに金融、ビジネス、そして重要なシステムを動かしており、そのすべてが読み込むコンテンツによって乗っ取られ得る」と、ClawSecureの創設者兼CEOであるJ.D. Salbego氏は述べた。

ワーカーモデルは隠れたコマンドに従った

金融向けAIエージェントに関して、レポートで最も具体的な調査結果は、ワーカーモデルとその上に配置されたマネージャーモデル、すなわち低価格モデルがタスクを実行し、その出力が上のモデルを経由する階層構成に関するものだ。ClawSecure調査したところ、ある大手ラボがリアルタイムの金融モニタリング向けに販売している低価格のワーカー階層は、隠れた攻撃者のコマンドに91.7%の確率(12件中11件)で従った。問題はワーカーで止まらなかった。そのワーカーの上にあるマネージャーモデルは、4件中4件(100%)のシナリオすべてで汚染された結果をそのまま通過させた。つまり、低い階層に仕込まれたペイロードは検知されることなく、上のモデルにそのまま到達したのである。

あるペイロードでは、ワーカーモデルは攻撃者の追加作業を無償で実行し、指示がなくとも被害者のデータをデータ持ち出し用リンクそのものにエンコードした。

窃取されたデータ、正常に見える画面

ClawSecureの調査によれば、乗っ取られたエージェントは認証情報やAPIキーを奪い、顧客の機密記録とともに金融データを持ち出すことができる。しかも、ユーザーにはすべてが正常であると表示されるクリーンな画面を見せ続けることができる。エージェントの目に見える出力で監視している人にとって、この点は重要だ。操作の痕跡がエージェントの報告内容に現れるとは限らないためである。ClawSecureは、乗っ取られたAIエージェントによる認証情報窃取について、別のブログ記事で詳しく検証している。

ユーザーの過誤なしに口座全体へのアクセスが可能

AIエージェントがだまされて送金され得るのかと問う財務チームにとって、ClawSecureの調査が示すのは、乗っ取られたエージェントが送金を行い、口座を開設し、接続されたすべてのツールにわたってユーザーになり代わって行動できるということだ。財務チームにとってエージェントを有用にするアクセス権こそが、エージェントが乗っ取られた際に攻撃者が得るものでもある。そのために、社員の誰かが誤ったものをクリックする必要すらない。金融向けAIエージェントの導入を検討する企業は、AIエージェントが取引を行う際のセキュリティリスクに関するClawSecureの分析を参照できる。

テスト範囲と開示

ClawSecureは、調査時点で最新だったバージョンのすべてのモデルをテストした。その後、いくつかのモデルは後継に置き換えられているが、プロンプトインジェクションを解決したと主張するラボはまだない。レポートで名前を挙げられたすべての企業は公開前に協調的な開示を受けており、指名されたベンダーがどう対応するか、そして後継のモデルバージョンがこれらの数値を変えるかどうかが、この結果が今なお財務チームが導入できるモデルを描写しているか否かを決める今後の焦点となる。レポートの全文はClawSecureの公式公開ページから無料でダウンロードできる。