【マンガ解説】Claude、ニセ情報で誤クリック
AIエージェントは、クリックするボタンのIDや、コメントを書いた人の名前を無条件に信じている。この思い込みを突く新しい攻撃手法が2026年7月6日、韓国のソウル大学などの研究チームからarXivで報告された。名付けて「Agent Data Injection（ADI）」。Claude in ChromeやClaude Code、OpenAIのCodex、GoogleのGemini CLIなど、主要なAIエージェントのほとんどが影響を受け、攻撃の成功率はケースによって100%に達した。ADIの仕組みと、AIエージェントを使う側が今日からできる備えを整理した。
何が起きたか
報告したのは、ソウル大学とLargosoft、イリノイ大学アーバナ・シャンペーン校の研究者6人だ。
論文のタイトルは「Agent Data Injection Attacks are Realistic Threats to AI Agents」で、arXivの番号は2607.05120である。
研究チームはClaude in Chrome、Google Antigravity、NanobrowserというWeb操作型のAIエージェントと、Claude Code、OpenAIのCodex、Google Gemini CLI、OpenAIのChatGPT Atlasというコーディング型のAIエージェントを対象に検証した。
結果、Web操作エージェントでは意図しないボタンを押させる「誤クリック攻撃」が、コーディングエージェントでは任意のコマンドを実行させる「リモートコード実行攻撃」が、いずれも成立した。
仕組み：エージェントが無条件で信じる「小さな事実」
AIエージェントは、ユーザーが直接指示した「命令」と、Webページやファイルから読み取った「データ」を区別して扱う。
これまでのプロンプトインジェクション対策の多くは、この「データ」に紛れ込む新しい命令文を検知しようとするものだった。
研究チームが突いたのは、命令文の形を取らない、もっと地味な情報だ。
ボタンのID、コメントを書いた人の名前、あるツールが実行された記録といった、エージェントが「事実」として無条件に信じているメタデータそのものを偽装する。
この手法を研究チームは「probabilistic delimiter injection（確率的デリミタ注入）」と名付けた。
AIモデルがデータの区切り記号をどう解釈するかという性質を利用し、偽のメタデータを本物とほぼ同じ確率で信じ込ませる。
具体例：レビュー欄からの誤クリックと、なりすましPRマージ
一つは、ネット通販のレビュー欄を悪用する攻撃だ。
攻撃者は偽のレビューを投稿し、実在するボタンのIDを偽装して埋め込む。
ユーザーが「レビューを要約して」とエージェントに頼むと、エージェントは「続きを読む」ボタンを押すつもりで、実際には「今すぐ購入」ボタンを押してしまう。
もう一つは、GitHubのプルリクエストを悪用する攻撃だ。
攻撃者はコメントの投稿者情報を偽装してプロジェクトの管理者になりすまし、コーディングエージェントに「管理者からの修正案」だと信じ込ませて、攻撃者が仕込んだコマンドを実行させる。
ビルドチェックが実行された記録そのものを偽造し、危険なコードを安全に見せかける手口も確認された。
数字で見る成功率
研究チームは6種類のAIモデルで攻撃を検証した。
JSON形式のデータを介した攻撃の成功率は31.3%から43.3%、Webページ（DOM）を介した攻撃の成功率は33.3%から100.0%だった。
OpenAIのGPT-5.2では、JSON形式で41.8%、Web DOM形式で100.0%という成功率が記録されている。
ベンダーの対応
研究者の一人、Woohyuk Choi氏はThe Hacker Newsの取材に対し、OpenAI、Google、Anthropicの3社はいずれも攻撃が有効であることを確認したが、論文公開時点で修正完了の報告は受けていないと述べている。
Nanobrowserからは論文公開時点で返信がなかった。
例外はOpenAIのChatGPT Atlasで、フィールド名にランダムなタグを付ける対策をあらかじめ採用しており、この攻撃をほぼ防いでいた。
研究チームによると、ランダムなタグをフィールド名に追加するだけで成功率は約49%から29%まで下がる。
完全に防ぐにはデータの出どころを常に追跡する仕組みが必要だが、その場合エージェントの処理速度は約3分の1に落ちるという。
日本の私たちにとって何が問題か
日本語圏では、Claude in Chromeなど拡張機能そのものの脆弱性はいくつも報じられてきた。
だが今回のADIのように、レビューやコメントの「差出人」情報を偽装する手口を専門的に扱った日本語記事は見当たらなかった。
この記事の執筆や画像制作でも、Claude CodeとClaude in Chromeを日常的に使っている。
外部の情報を読み込ませたり、ブラウザを自動操作させたりする工程は、まさにADIが狙う場所そのものだ。
現場で今すぐ使える手立ては2つある。
第一に、購入や送金、コードのマージといった取り返しのつかない操作は、エージェントに任せきりにせず人が最終確認する。
第二に、外部から来た文章の「誰が書いたか」「何が実行されたか」を、エージェントの申告どおりに信じない。
ベンダー側の修正を待つ間は、これが最も現実的な防御線になる。
まとめ
ソウル大学などの研究チームが、AIエージェントを狙う新しい攻撃手法「Agent Data Injection（ADI）」を2026年7月6日にarXivで報告した
ボタンのIDやコメントの投稿者情報など、エージェントが無条件に信じるメタデータを偽装する手口で、Claude in Chrome、Claude Code、Codex、Gemini CLIなど主要エージェントの多くが影響を受けた
攻撃の成功率はケースによって100%に達し、OpenAI、Google、Anthropicは有効性を確認したが、論文公開時点で修正完了の報告はない
ランダムなタグの付与など部分的な緩和策はあるが、完全な防御はエージェントの処理速度を犠牲にする
出典
arXiv「Agent Data Injection Attacks are Realistic Threats to AI Agents」 https://arxiv.org/abs/2607.05120
The Hacker News「New Agent Data Injection Attack Can Make AI Agents Misclick or Run Attacker Commands」 https://thehackernews.com/2026/07/new-agent-data-injection-attack-can.html
