チェック・ポイント・リサーチ、「プロンプト型アドウェア」の手法を発見　AIへの隠れた指示がもたらす企業の新たなセキュリティリスクに警鐘

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
自然言語のプロンプトや設定ファイルを悪用、AIエージェントの動作を継続的に操作する新たなリスクを特定

サイバーセキュリティソリューションのパイオニアであり、世界的リーダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、NASDAQ: CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、OpenAI Codex向けのジェイルブレイクバンドル「Haiou」を発見、その新たなセキュリティリスクに関する分析結果を公開しました。

Haiouは、AIエージェントが信頼する指示を継続的に改変し、サードパーティー製AIゲートウェイの広告を挿入する挙動を示します。CPRはこの手法を「プロンプト型アドウェア（Prompt Adware）」と呼んでおり、自然言語のプロンプトや設定ファイルを通じて、従来の実行可能コードを使わずにAIエージェントの挙動に継続的な影響を与えられる点に注目しました。

表示される広告自体は比較的シンプルで、悪意のあるものとは確認されていません。しかしこの手法は、組織においてAIエージェントの採用が進むなか、組織が信頼を置くAIシステムに影響を及ぼすサードパーティー製プロンプト、スキル、設定をどこまで把握できているのかというより広範な懸念を引き起こしています。

主な調査結果
- CPRは「プロンプト型アドウェア」の手法を特定しました。この手法では、自然言語の入力によって、AIへの信頼された指示を継続的に改変し、将来の出力に影響が生じます。
- HaiouはCodexのジェイルブレイクにとどまらず、AIエージェントのグローバルな指示を改変し、一般的な挨拶をトリガーとしてサードパーティー製AIゲートウェイの広告を表示させます。
- 同様の継続的メカニズムは、ユーザーに気づかれることなく、AIの推奨内容の誘導、特定のサービスの宣伝、技術的なアドバイスでの偏りなどを生じさせる目的にも悪用される可能性があります。
- 今回の発見は、プロンプト、スキル、設定がAIエージェントの動作に影響を及ぼす中で、AI環境の可視性を確保することの難しさを浮き彫りにしています。
- ビジネスへの潜在的なリスクには、信頼されたサードパーティー製AIコンポーネントの悪用による不正操作や、機密情報の外部への流出も含まれます。


プロンプト型アドウェアとは？
従来のアドウェアはソフトウェアを利用し、広告表示やユーザーに表示される内容に影響を与えます。プロンプト型アドウェアは、同様の仕組みをAIエージェントに応用します。

CPRは、商業的な目的やAIエージェントの挙動を操作する目的で、AIエージェントが信頼する自然言語の指示（グローバルプロンプト、スキル、設定ファイルなど）を継続的に改変する手法を「プロンプト型アドウェア」と呼んでいます。この手法では、実行可能コードではなく、エージェントの動作を左右する指示そのものを変更します。

Haiouは、この手法の具体例の一つです。複数のプロンプトインジェクション手法を用いてOpenAI Codexのジェイルブレイクを試みる一方、エージェントのグローバルな指示も改変します。その結果、ユーザーが一般的な挨拶を入力すると、特定のサードパーティー製AIゲートウェイを宣伝する広告が表示されます。

このAIゲートウェイ自体は、悪意あるものであるとは確認されていません。しかし今回の発見でより重要なのは、その根底にあるメカニズムです。つまり、サードパーティー製コンポーネントがAIエージェントの信頼する指示を継続的に改変可能であり、その後のやり取りに影響を与えることができるという点です。

図1 - Codexでトリガーワードに反応して表示される広告

プロンプト型アドウェア発見の経緯
CPRは当初、Haiouと、OpenAI Codexに組み込まれたセキュリティ制限を回避するための手法を調査していました。研究者らはジェイルブレイクの成否だけでなく、バンドルの内容や、それによってAIエージェントに加えられる変更も分析しました。

その結果明らかになったのが、追加的な広告表示動作です。HaiouはCodexのグローバルなエージェント指示を改変し、サードパーティー製LLMゲートウェイを宣伝するための指示を追加していました。これにより、挨拶などの一般的なやり取りをきっかけに、エージェントの応答内に広告が表示されます。

この技術的な違いは見過ごせない意味を持ちます。挙動は従来のような実行可能ペイロードによってではなく、自然言語の指示や設定を通じて組み込まれます。そのため、従来どおりソフトウェアの動作を調べるだけでは、こうした操作を把握できない可能性があります。

またCPRは、Haiou開発者がClaude Codeを試験的に使用していたことを示す証拠も発見しました。CPRによるテストでは、Claude Codeはプロンプトインジェクションを検知し、注入された指示に従うことを拒否しました。

図2 - Claude Codeがプロンプトインジェクションを検知した様子

プロンプト操作がもたらすビジネスリスク
同様の仕組みは、AIエージェントが独自開発のコードや組織の内部情報など機密性の高いビジネスデータを扱う場合、より深刻な問題につながるおそれがあります。

CPRによると、この手法が悪意を持って利用された場合、機密情報の外部流出につながる可能性があります。ただし、今回の調査でHaiouによる企業情報の窃取は確認されていません。問題は、AIが信頼する指示やコンポーネントが悪用された場合に、こうしたリスクが生じ得ることです。

サードパーティー製サービスも、こうしたリスクを増大させる可能性があります。CPRは今回、Haiouが宣伝するAIゲートウェイが悪意あるものである指標を確認していません。しかし別の学術研究では、他のLLMゲートウェイに関して、ユーザーデータの傍受、クラウドのアクセスキーなどの機密情報漏えい、一部のケースでのツール呼び出しの挿入が確認されています。組織は、基盤となるAIモデルやプロバイダーを評価するだけでなく、AIエージェントとやり取りするコンポーネント、エージェントへの指示に影響を与えるコンポーネント、エージェントのデータを取り扱うコンポーネントについても、リスクを評価する必要があります。

AIサプライチェーンにおける新たな可視性の課題
CPRはHaiouをAIサプライチェーン攻撃として分類していません。ただし同様の仕組みは、ユーザーの認識外で追加の処理を実行するサードパーティー製のスキルや設定を信頼した場合、将来的にサプライチェーン攻撃に悪用される可能性があります。

今回の調査は、従来のソフトウェアがもたらすサプライチェーンへのリスクとは異なる可視性の課題も浮き彫りにしています。従来のソフトウェアでは、セキュリティチームがアクティビティの発生源を実行中のコードまでさかのぼって追跡できるケースも多くあります。一方、AIスキルや自然言語の指示がモデルに作用する環境では、エージェントの挙動に何が影響しているのかを正確に把握することは容易ではありません。

企業のAI導入が拡大するにつれ、攻撃者もその変化に適応し、AIエージェントや周辺エコシステムを標的にすることが予想されます。Haiouはセキュリティ面で注意が必要な手法の初期事例であり、組織がAI環境を評価する際に、モデルだけでなく、プロンプト、スキル、エージェントの設定についても考慮する必要があることを示しています。

組織が次に取るべき対策
AIエージェントが企業のワークフローに深く組み込まれるにつれ、組織は利用中のAIエージェントや指示、サードパーティー製コンポーネントをより詳細に把握する必要があります。CPRが組織に推奨する対策は以下の通りです。
- AIの利用状況を可視化する：組織全体で使用されているAIエージェントやサードパーティー製コンポーネントを把握します。
- AIエージェントを取り巻くコンポーネントを見直す：基盤となるAIモデルだけでなく、エージェントの動作に影響するプロンプト、スキル、設定についても確認します。
- サードパーティー製AIツールのガバナンスを強化する：企業での利用を承認するAIツール、スキル、ゲートウェイ、その他の外部コンポーネントを明確にします。
- AIエージェントが信頼する指示を監視する：エージェントの動作を規定する指示や設定が継続的に改変されていないかを監視します。
- AIリスクと併せて、アクセス権限も検討する：AIエージェントがアクセスできる機密データ、コード、業務システムと、その動作に影響を与え得る要因の両方を評価します。

Haiouはプロンプト操作がもたらすリスクの初期事例であり、CPRが発見した広告表示の挙動はその一例です。しかしこの事例は、AIエージェントが企業環境に組み込まれるにつれて、その動作に影響を与えるプロンプト、スキル、サードパーティー製コンポーネントもまた、信頼の連鎖の一部として管理する必要がある、という重要な点を示唆しています。

詳細な技術分析については、こちらからチェック・ポイント・リサーチの調査レポートをご覧ください。

本プレスリリースは、米国時間2026年11月3日に発表されたブログ（英語）をもとに作成しています。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
X: https://x.com/_cpresearch_

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（www.checkpoint.com）は、世界各国の10万を超える組織を保護するグローバルなサイバーセキュリティのリーダー企業です。チェック・ポイントは、企業の安全なAIトランスフォーメーションの保護をミッションとして掲げています。防止優先のアプローチとオープンエコシステムアーキテクチャを基盤に、組織がリスクを低減し、業務を簡素化して、自信を持ってイノベーションを推進できるよう支援します。チェック・ポイントの統合セキュリティアーキテクチャは、進化する脅威や拡大するAI攻撃対象領域に継続的に適応し、ハイブリッドネットワーク、クラウド環境、デジタルワークスペース、AIシステムを保護します。4つの戦略的柱であるハイブリッドメッシュネットワークセキュリティ、ワークスペースセキュリティ、エクスポージャー管理、AIセキュリティを軸に、チェック・ポイントは複雑なマルチベンダー環境全体にわたり、一貫した保護と可視性を提供します。チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・X: https://x.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan

将来予想に関する記述についての法的な注意事項
本プレスリリースには、将来予想に関する記述が含まれています。将来予想に関する記述は、一般に将来の出来事や当社の将来的な財務または業績に関連するものです。本プレスリリース内の将来予想に関する記述には、チェック・ポイントの製品およびソリューションに関する見通し、将来的な成長、業界におけるリーダーシップの拡大、株主価値の上昇、および業界をリードするサイバーセキュリティプラットフォームを世界の顧客に提供することについての当社の見通しが含まれますが、これらに限定されるものではありません。これらの事項に関する当社の予想および信念は実現しない可能性があり、将来における実際の結果や事象は、リスクや不確実性がもたらす影響によって予想と大きく異なる可能性があります。本プレスリリースに含まれる将来予想に関する記述に伴うリスクや不確実性は、2026年3月31日にアメリカ合衆国証券取引委員会に提出した年次報告書（フォーム20-F）を含む証券取引委員会への提出書類に、より詳細に記されています。本プレスリリースに含まれる将来予想に関する記述は、本プレスリリースの日付時点においてチェック・ポイントが入手可能な情報に基づくものであり、チェック・ポイントは法的に特段の義務がある場合を除き、本プレスリリース記載の将来予想に関する記述について更新する義務を負わないものとします。

本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel: [phone]　Fax: [phone]
E-mail: [e-mail]