TikTok研究者、MCPツールの説明文がAIエージェントを静かにユーザーの敵に変えうると警告
重要ポイント
- •TikTokのPrivacy Innovation Labが2026年2月27日にSirat Samyoun氏とJian Du氏により発表した論文は、マルチターンのMCPシステムがAIエージェントの従来のセキュリティ前提を崩すと主張している。
- •研究では、悪意あるツール説明がLLMエージェントに対し、ユーザーの質問とエージェントの応答を攻撃者が管理するロギングサービスへ送信させうることが判明した。
- •公開MCPサーバーでの管理された実験では、単一のサーバーが完全なプロフィールを公開していなくても、別々のサーバーからの正当なツール応答を組み合わせて個人情報を再構築できることが示された。
- •社会保障番号などの機微フィールドは、エージェントに機微情報の除外を指示してあっても、マルチターンの会話をまたいで残存し、サーバー境界を越えて漏えいしうることが分かった。
- •研究者たちは、ターンごとのセキュリティ検査ではセッション全体でしか可視化されない累積的な露出を見逃すと主張し、MCPエコシステム内でツール説明を信頼できない入力として扱うよう求めている。
AIエージェントは役立つアシスタントとして設計されているが、TikTokの新たな研究は、データ窃取の意図せぬ経路にもなりうると示している。同社のPrivacy Innovation Labによる論文は、マルチターンのModel Context Protocol(MCP)システムが、開発者が依拠してきたセキュリティ上の前提を崩すと主張している。
研究によれば、悪意あるツール説明は、大規模言語モデル(LLM)エージェントに対し、ユーザーの質問とエージェント自身の応答を攻撃者が管理するロギングツールへ送信させる可能性がある。ユーザーが質問をし、エージェントが答え、第三者がそのやり取り全体のコピーを静かに保持するという仕組みだ。
論文の主な発見
「When Tools Become Prompts: Why Multi-Turn MCP Systems Break Traditional Security Assumptions」と題されたこの論文は、2026年2月27日にTikTokのPrivacy Innovation LabのSirat Samyoun氏とJian Du氏によって発表された。
焦点はModel Context Protocol、すなわちMCPだ。MCPは、会話の中でAIエージェントが外部のツールやサービスに接続できるようにする汎用アダプタのようなものである。
論文のタイトルが核となる概念を捉えている。ツールの説明文はモデルが読むテキストであり、モデルが読むテキストは指示として機能しうる。攻撃者がその説明文を書けば、実質的にプロンプトの一部を書いていることになる。エージェントは、会話を攻撃者の管理するロギングサービスへ転送せよという指示を含む、埋め込まれた命令に従う可能性がある。
消えない機微データ
ツールポイズニングの発見は話の一部にすぎない。研究者たちは、機微なフィールドがマルチターンの会話をまたいで残存し、サーバーの境界を越えて漏えいしうることも明らかにした。
例として挙げられたのは、社会保障番号やその他の識別子だ。エージェントに機微情報を除外するよう明示的に指示してあった場合でも、これらの詳細が開示されうるという。
研究チームは公開MCPサーバーおよび連携を対象に管理された実験を実施した。その結果、完全に正当なツール応答を組み合わせることで、個人を特定できる情報(PII)を再構築できることが示された。
単一のサーバーが完全なプロフィールを提供する必要はなかった。代わりに、別々のMCPサーバーから取得したデータをつなぎ合わせることで間接的な漏えいが悪化する。複数の連携を持つエージェントを運用する者にとって、これは、リスクが単一のツールにあるのではなく、個々には無害な複数ツールの組み合わせが明かすものにあることを意味する。
ターンごとのセキュリティ検査が問題を見逃す理由
論文の最も鋭い批判は、MCPセキュリティの通常の評価方法に向けられている。多くの評価は会話の各ターンを切り離して見ている。
研究者たちは、このアプローチでは累積的なリスクを見逃すと主張する。露出はターンとツールをまたいで積み重なり、会話履歴全体を検証して初めて可視化される。この論理によれば、個々のターンをすべてクリアした監査でも、セッション全体を通じて初めて表面化する漏えいを見逃しうる。
攻撃面が拡大する若い標準
MCPは2024年末に標準として登場し、その後、CursorやClaude Desktopといった人気ツールに普及した。この普及により、論文の懸念は多くの開発者やエンドユーザーがすでに依拠するソフトウェアの中に存在している。
TikTokの論文は、2025年に始まったセキュリティ研究の波を土台としている。それ以前の研究は、ツール説明のポイズニングやMCPサーバーに関連するサプライチェーンの脆弱性への懸念を提起していた。
ツール説明のポイズニングは2025年初頭からリスクとして指摘されてきた。ベンチマークも数値を示している。MCPToxは、モデル全体で平均36.5%の攻撃成功率を報告している。
Samyoun氏とDu氏が加えたのは、マルチターンの視点だ。従来の懸念は単一のツールが信頼できるかどうかに集中していた。この論文は、多くのツールと多くのターンが会話の中で相互作用するとき何が起きるかを問うている。
開発者と企業への示唆
開発者にとって、メッセージは心地よくないが明確だ。各ツールを個別に審査し、各応答を切り離して確認するだけでは不十分な可能性がある。
研究者たちは、開発者からエンドユーザーまで、MCPエコシステムのすべての関係者に対し、セキュリティフレームワークの見直しを呼びかけている。実際には、ツール説明を信頼できない入力として扱い、ターンごとではなく会話全体を通じてリスクを評価することを意味する。
この発見はサプライチェーンに関する疑問も提起する。エージェントが公開MCPサーバーに接続できる場合、すべてのサードパーティーツールがポイズニングされた命令の侵入経路となりうる。当面の問いは、実務が論文の助言に従うかどうか、すなわちツール説明が信頼できない入力として扱われ、セキュリティレビューが単一ターンから会話全体へと拡大するかどうかである。
