投稿者 投稿日: カテゴリー AIニュース
「改ざんされたリンク1つで、自分名義のAIエージェントが勝手に作られ、5分ごとに社内データを攻撃者へ送り続ける」。そんな攻撃手法「AgentForger」が公開されました。EC事業者がChatGPTなどのAIエージェントを受注メールや在庫管理に連携し始めた今、これは他人事ではありません。本記事は、EC支援19年・5,000社超の実績を持ち、AI導入支援を2023年から提供する株式会社オルセル（うるチカラ運営）が、AgentForgerの仕組みと、EC現場でとるべき3つの防御を解説します。
AgentForgerとは、改ざんされたChatGPTのリンク1つでAIエージェントを乗っ取る攻撃手法のことです。
何が起きたか：リンク1つで「乗っ取りエージェント」が誕生
結論から言うと、AIセキュリティ企業のZenity Labsが、OpenAIのWorkspace Agents（AIエージェント作成機能）に「AgentForger」と名付けた脆弱性を発見しました。報じたのはThe Decoderです。
この攻撃が新しいのは、従来のCSRF（クロスサイト・リクエスト・フォージェリ）が「1回の不正操作」を仕込むだけなのに対し、AgentForgerは「自律的に動き続けるエージェントそのもの」を作り出す点にあります。細工されたリンクを踏むと、被害者本人の名義でエージェントが自動生成され、本人がすでに認可済みのOutlook・Gmail・Slack・Google Drive・SharePoint・Teamsといった連携をそのまま使い、承認画面を出さずに動き出します。
生成されたエージェントは5分ごとに受信箱を確認し、攻撃者から届く「TASK」という件名のメールを新しい命令として実行し、結果を送り返す挙動が実証されました。Zenityの検証では、組織図の自動作成、M&A関連資料の抽出、Slack内に残っていたパスワードの発見、さらには242,500ドルの送金承認依頼の生成まで再現されたと報告されています。
なお、この脆弱性はZenityが2026年6月4日にOpenAIへ報告し、OpenAIは6月8日に該当するURLパラメータを削除して修正済みです。つまり同じ手口は現時点で塞がれていますが、問題の本質は「エージェントは本人が作り、承認し、実行したはず」という信頼の前提そのものが崩れた点にあります。2026年はAIエージェントの安全性が繰り返し論点になっており、Opus 5がブラウザ経由のプロンプトインジェクションに対処した件と合わせて押さえておきたいテーマです。
日本のEC事業者にとっての論点：狙われるのは「連携済みの業務データ」
日本のEC事業者にとってAgentForgerが示すのは、「AIエージェントを業務に連携させるほど、乗っ取り時の被害が大きくなる」という現実です。すでに楽天・Amazon・Shopify・Yahoo!ショッピングの運営現場では、受注確認メール、仕入先とのやり取り、顧客名簿、広告アカウントなどをGmailやSlack、Google Driveで扱い、そこにChatGPTなどのAIを接続する動きが広がっています。
Zenityはこの構図を「致命的な三要素（lethal trifecta）」と表現しました。URLという「外部からの信頼できない入力」、コネクタという「機密データへのアクセス」、メールという「データの持ち出し経路」が一本の線でつながると、一度の油断で情報流出が起きるという指摘です。
ECの文脈に置き換えると、乗っ取られたエージェントが顧客の個人情報や受注データを外部へ送る、取引先になりすまして偽の請求書や送金依頼を送る、といった被害が現実的なリスクになります。しかも社内アカウントから届くなりすましメッセージは、外部からの不審メールより信じられやすく、被害が連鎖的に広がりやすい点も見逃せません。AIエージェントのセキュリティは、いまや店舗運営者にとって在庫や広告と並ぶ管理項目になりつつあります。
今後の展望・初動アクション：EC現場でとるべき3つの防御
第一に、AIエージェントに与える連携（コネクタ）を最小限に絞ることです。受注・顧客データを扱うGmailやDriveを、検証用のエージェントにまで無制限に接続しない運用を徹底します。役割ごとにアカウントを分け、不要になった連携はこまめに解除するのが基本です。
第二に、「承認をスキップする設定」を安易に使わないことです。AgentForgerが致命的だった最大の理由は、すべての操作を「確認なしで実行（Never ask）」に切り替えられた点にありました。送金・送信・削除など影響の大きい操作には、人間による承認ゲートを残しておくべきです。
第三に、リンクとスケジュール実行の監視です。「便利なAIテンプレート」を装ったメールのリンクは社内でも安易に踏まないよう教育し、身に覚えのない定期実行ジョブや新規エージェントが勝手に作られていないかを定期的に点検します。加えて、利用中のAIツールがベンダーの修正パッチを適用済みかを確認することも、エージェント時代の運用チェックとして欠かせません。
まとめ
AgentForgerはすでに修正済みですが、「エージェントは本人が作り、承認し、実行したはず」という前提を崩す新しい攻撃の型を示しました。EC事業者がとるべきスタンスは、AI活用のブレーキを踏むことではなく、連携の最小化・承認ゲートの維持・リンクと実行の監視という基本を、エージェント時代の標準的なリスク対策として運用に組み込むことです。
参考文献
- The Decoder：One tampered ChatGPT link could spawn a rogue AI agent
- Zenity Labs：AgentForger Part 1 – ChatGPT Cross-Site Agent Forgery
- Zenity Labs：AgentForger Part 2 – The Autonomous Insider
- The Register：One ChatGPT link could smuggle a rogue AI agent into your company
※うるチカラでは、生成AIの導入支援から運用最適化まで、貴社のEC事業に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://uruchikara.jp/contact/
引用元: The Decoder
【監修】齋藤竹紘（株式会社オルセル代表 / 19年・5,000社のEC支援実績）
株式会社オルセル代表取締役 / うるチカラ編集長。19年・5,000社以上のEC支援実績を持ち、楽天市場・Amazon・Yahoo!ショッピング・Shopify・Shopee越境ECの実装ノウハウを保有。AI×ECに関する書籍を3冊執筆。「現場で使えるAI実装」を一次情報として発信しています。
この記事を読んだ人は、こんな記事も読んでいます
