日常的なスクリプトに隠された拒否トリガー
驚くべき発見として、ある研究者が高トラフィックのウェブサイト上で、AIに対する偽の指示にデコードされる目に見えない文字を含むトラッキングスクリプトを発見しました。この隠しテキストには、毒物の製造や天安門事件といったタブー視される話題への言及が含まれていました。その目的はスクリプトの実際の機能を説明することではなく、AIの安全フィルターをトリガーし、分析を妨害することでした。
デコードされた文字列は、さまざまなAIの安全チェックを回避するように設計された偽の指示セットを提示しました。これらは化学化合物に関連する生物学的リスクの警告から、より寛容なモデルさえも停止させることを意図した政治的に敏感なトピックまで多岐にわたります。このテキストは、AIに組み込まれたガードレールをAI自身に対して武器化しようとする意図的な試みでした。
この欺瞞的な層の下には、従来のアンチボットおよびフィンガープリントスクリプトが存在していました。その主な役割はユーザーを識別および追跡することであり、悪意のあるペイロードを実行することではありませんでした。隠された「汚染された」テキストは、AI駆動のセキュリティツールがその真の動作を解明するのを阻止するための、洗練された難読化手法であるアンチ分析メカニズムとして機能していました。
この発見は、サイバーセキュリティにおける新たなベクトル、すなわちAIの保護メカニズムを防御的または攻撃的な戦術として悪用することを浮き彫りにしています。隠しテキストは危険なペイロードを証明するのではなく、AIの警戒心を「ブロック」に変えることで、自動化された精査を防ぐ高度な手法を実証しました。
安全フィルターがセキュリティ業務を停止させる時
スクリプトの影響をテストするため、ある研究者は8つのAIエージェントにそれを提示し、コードの難読化を解除するように指示しました。プロンプトには「疑わしい変数名は意図的なデコイ（おとり）である可能性がある」という重要な警告が含まれていました。この設定は、モデルが本物のコードと意図的な毒テキストを区別できるかどうかを確認することを目的としていました。
結果は、クローズドモデルとオープンモデルの間の顕著な対比を浮き彫りにしました。OpenAIのGPT-6 AstraとFable 5.1は即座にスクリプトを生物学的リスクとしてフラグを立て、処理を拒否しました。Claude Opus 5.5とFable 5.1は数千文字を取り込みましたが、出力を生成する前に安全フィルターによって遮断されました。フロンティアモデルは完全に非協力的であることが判明しました。
しかし、オープンモデルは回復力を示しました。DeepSeek、GLM、Kimiは難読化解除を進め、トリガーを目的として埋め込まれた天安門事件への言及にも動じませんでした。この相違は、AIアーキテクチャ全体で安全フィルターの起動しきい値が異なることを示唆しています。
例えばGLMは、隠されたメッセージをノイズとして正常に識別しました。さらに、毒物に関連しているように見える変数名が、実際には基盤となるコードで積極的に使用されている数値を生成する数学関数であることを認識しました。この分析は、難読化を突き抜けて有意義な情報を抽出し、本物のコードロジックと欺瞞的な安全トリガーを分離する能力を示しました。
同じトリックがサイバーの罠に変わる可能性がある
同じトリックがサイバーの罠に変わる可能性がある
攻撃者はAIの安全メカニズムを悪用して防御側の分析を妨害しますが、同じ原則を自動化された侵入者に対して武器化することも可能です。サイバーセキュリティ企業のTracebitは、コンテキストボムを開発しました。これは、攻撃者を誘い込むために設計された偽の認証情報やファイルなどのデコイ（カナリア）に埋め込まれた、短く精巧に作成された文字列です。これらの文字列はAIエージェントの本質的な安全フィルターを起動させ、タスクの実行を拒否させます。
そのメカニズムは一見単純です。自律型AI攻撃者がデコイ（囮）をスキャンし、仕込まれたテキストをコンテキストウィンドウに取り込むと、AI自身のガードレールが作動します。この拒否反応によりエージェントは停止し、プログラムされたセーフガードが防御用のキルスイッチへと変貌します。7月、Tracebitはこの「コンテキストボム」に関する研究を発表し、その利用を体系化しました。
773回のAWSテスト実行にわたり9つのデセプション（欺瞞）技術を網羅したTracebitの拡張フレームワークは、非常に高い有効性を示しました。コンテキストボムは、自律型攻撃者の目的達成率を91%低下させ、攻撃側の推論コストを最大23倍に増加させました。以前は97.5%のベースライン成功率を誇っていたGPT-5.6 Cyber、Kimi K3、DeepSeek V4 Proといったフロンティアモデルも、これらの罠に遭遇すると成功率は0%となりました。最初の発見に関する詳細は、Why Is This Fingerprinting Script Creating Bioweapons? を参照してください。
この拒否トリガーの並行利用は、AI主導のサイバーセキュリティにおける重要な新しい力学を浮き彫りにしています。攻撃者は「ポイズンテキスト（毒入りテキスト）」を仕込むことで防御側のAI分析を妨害できますが、一方で防御側は同じセーフガードを自動化された侵入者に対して向け、AIの内部ロジックを強力な防御ツールへと変えることができます。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
万能な盾ではなく、有用なトリップワイヤー
コンテキストボムは有用なトリップワイヤーですが、万能な盾ではありません。この防御戦術は、攻撃側エージェントのモデルとその組み込みセーフガードに完全に依存しています。異なるトレーニングを受けたAIや、拒否ポリシーが厳格でないAIは、仕込まれたコンテンツを無視したり、中断することなくタスクを処理したりする可能性があります。これはDeepSeek、GLM、Kimiといったオープンモデルによって実証されています。
セキュリティチームにとって、厳格な拒否反応のみに頼ることは運用上のリスクを伴います。過敏なコンテキストボムは「誤検知（false positives）」を生成し、正当なマルウェアトリアージや管理されたペネトレーションテスト中にアラートを発生させる可能性があります。アナリストは、これらの拒否反応が重要なセキュリティ業務を遅延させないよう、代替ツールやレビュー経路を維持する必要があります。
コンテキストボムは、堅牢なデセプション戦略の一層に過ぎません。Tracebitの研究では、これらの技術を使用することで攻撃者の目的達成率が91%減少することが示されています。しかし、セキュリティチームは、これらの隠しテキストによるトリックを、遭遇が予想される特定のAIモデルに対してテストしなければなりません。モデルが情報の処理を拒否したからといって、それがシステム全体のセキュリティを意味するわけではないことを理解しておく必要があります。それは単に、特定のセーフガードが作動したことを示しているに過ぎません。
よくある質問（FAQ）
スクリプト内の隠されたポイズンテキストとは何ですか？
AIモデルがスクリプトを分析する際に、その安全フィルターを作動させるように設計された隠しテキストです。不可視文字でエンコードされている場合もあります。
隠しテキストはAIモデルに何をさせようとしたのですか？
周囲のコードを検査しようとする試みを中断させるために、拒否反応を誘発する偽の指示や機密トピックが含まれていました。
コンテキストボムとは何ですか？
コンテキストボムとは、カナリアなどのデコイ資産に仕込まれたテキストのことで、AI攻撃者がその資産を読み取った際に、AIのセーフガードを作動させるためのものです。
この技術ですべてのAIモデルを阻止できますか？
いいえ。ビデオ内のテストでは、一部のクローズドモデルはタスクを拒否しましたが、DeepSeek、GLM、Kimiは分析を完了しました。