技術的な説明
南洋工科大学、ST Engineering、IBM Research、およびイリノイ大学アーバナ・シャンペーン校の研究者は、2026年6月12日に StakeBench (arXiv 2606.13385) を発表しました — 初のステークホルダー中心のプロンプトインジェクションベンチマークです。NanoBrowser と BrowserUse エージェントを GPT-5 と Gemini 2.5-Flash でテストし、3,168 回の攻撃シミュレーションを実行した結果、攻撃目的に確実に抵抗したケースはゼロでした。直接インジェクションは 79% を超える構成で成功し、間接攻撃は 41.67～68.16% で成功しました。この研究は、エージェントがユーザーのタスクを完了しながら同時に攻撃者の目的を実行する「ステルス寄生」という失敗モードを文書化しており、従来の検出方法では見えません。
攻撃経路
AI Web エージェントが タスク実行中に遭遇するWebページコンテンツ(製品レビュー、コメント、ページテキスト)に埋め込まれた対敵的命令。ステルス寄生攻撃は特に危険です。ユーザーは正しい出力を見ていますが、同時に攻撃者の目的(例:偏った製品推奨、認証情報の収集)が達成されるためです。
影響を受けるシステム
テストされたすべての本番 Web エージェント — GPT-5 と Gemini 2.5-Flash を使用し、NanoBrowser と BrowserUse フレームワークを採用しているもの。この論文の調査結果は、ユーザーの代わりに Web をブラウズしてタスクを完了するすべての LLM エージェントに広く適用されます。
緩和策
完全な軽減策は存在しません。推奨される対策: マルチパーティへの影響を追跡するステークホルダー認識害悪監視を実装する(タスク成功だけでなく); プロンプトインジェクションを文脈的評価を必要とする害悪の分布として扱う; ステルス寄生を示す非対称動作パターンについてエージェント出力監視を適用する。