エージェントの送金先・宛先は「由来」で検証する：パラメーターポイズニングと SPILLWAY
正しいツールが呼ばれても、攻撃者が操作した外部情報で送金先などの引数だけが差し替わる間接プロンプトインジェクションが論文で扱われた。対策案として、宛先が利用者の指示かツールの型付き返り値に由来するかを、LLM を使わない規則で確かめる SPILLWAY が提案されている。
いつ使うか
- メール送信、送金、ファイル共有など、宛先を引数に取るツールをエージェントに持たせるとき
攻撃の形（防御側の整理）
- 論文の例では、正規の振込先の登録情報は変わらないまま、口座変更を装う攻撃者のメッセージを読んだエージェントが引数を書き換える。ツール名は依頼どおりなので、「ツールの種類」の許可リストでは止まらない。
対策
- 宛先・金額などの危険な引数は、値の出どころを記録し、「利用者の入力」か「信頼するツールの構造化された返り値」以外（メール本文、Web ページなど）由来なら実行しない。この判定は LLM ではなく固定規則で行う。
- 外部データのうち命令らしき部分を、モデルが読む前に決まったルールで除去する（完全ではないので補助とする）。
- 送金・外部送信は、登録済みの宛先リストと照合し、新規・変更は人の承認を必須にする。口座変更の連絡は別経路で確認する。
- 関連: Web の HTTP 応答ヘッダーに書かれた指示をエージェントに読ませない、AI エージェント運用セキュリティガイド
注意
- 論文の提案段階で、実装や効果は各自の環境で検証が必要。