「Repeat‑After‑Me」プロンプトが6つの主要AIエージェントフレームワークを回避、研究者が実証

2026年10月9日に共同論文が発表され、学術チームは「Repeat‑After‑Me」と呼ばれる新たな敵対的手法を紹介した。この手法は、AIが指揮するエージェントに攻撃者が供給したツール呼び出しを実行させ、組み込みの安全チェックを回避する。

研究者は、LangChain／LangGraph、Microsoft Agent Framework、Microsoft AutoGen、Google Agent Development Kit 2.0、AWS Strands Agents、CrewAIの6つの広く使用されているフレームワークに対してこの技術をテストし、すべてが作成されたプロンプトに脆弱であることを確認した。

「Repeat‑After‑Me」プロンプトの仕組み

攻撃は「repeat after me:」といった無害に見える要求から始まる。LLMはこのフレーズを「以下のテキストをそのまま繰り返せ」という指示と解釈し、続くテキストにツール呼び出しペイロードが含まれていると、フレームワークは正当なリクエストとみなして基盤ツールへ転送する。

LangGraph 1.2.0のデモでは、モデル（Ollama経由のLlama 3.1 8B）は最初リクエストを拒否したが、ツール呼び出し文字列そのものは出力した。仮想的に再構成された後、モデルは構造化された呼び出しを生成し、拒否が処理される前に実行されたことが、攻撃の実行可能性を示した。

脆弱性の範囲

プロンプトベースの回避に加えて、著者らは273台のオープンソース多ツールオーケストレーション（MCP）サーバーに対し大規模ファジングキャンペーンを実施し、118サーバーで253件の検証済みセキュリティバグ、合計343種のツールに影響があることを発見した。

最も深刻な報告の内訳は、パストラバーサル64件、サーバーサイドリクエストフォージェリ（SSRF）7件、データ漏洩5件、OSコマンドインジェクション3件で、残りは主に出力やログインジェクションの問題であった。

ToFuファジングフレームワークの紹介

これらのギャップに対処するため、研究者はToFuというファジングフレームワークを公開した。ToFuはツールメタデータを読み取り、関連するCWEエントリへマッピングし、自動でセキュリティチェックを生成する。実行トレースを内省し結果をサニタイズすることで、ハーネスやセマンティックオラクルを作成する。

• ツール仕様からの自動ハーネス生成
• 実行内省によるセマンティックオラクル構築
• CWEベースのセキュリティ制御テンプレート
• 数千のツールインスタンスのバッチテスト
• 再現可能なペイロード付きバグレポート

論文は、多くのツールが他のツールや外部コンテンツからの入力に対し、LLMの出力を暗黙的に信頼してサニタイズを行っていると指摘している。この暗黙の信頼は攻撃面を拡大し、複数のオーケストレーションコンポーネント間で連鎖的なエクスプロイトを可能にする。

LangGraphのメンテナは事前実行制御の欠如について通知を受けたが、執筆時点でLangChain、Microsoft、Google、AWS、CrewAIの各チームからの公式な返答は記録されていない。

日本国内の組織でこれらエージェントフレームワークを利用している場合、外部ツールを組み込んだLLM駆動ワークフローは具体的な緩和策が導入されるまで脆弱と見なす必要がある。直ちに取るべき対策は、ツールの自動実行を無効化し、LLM外での厳格な入力検証を実施し、CIパイプラインにToFuスタイルのファジングを組み込んで、潜在的な信頼境界の欠陥を事前に検出することである。