Yuepeng Hu、Chongyu Fan、Sirat Samyoun、Jian Du の研究チームは2026年10月26日(現地時間)、大規模言語モデル (LLM) エージェントに対する新たなプロンプトインジェクション攻撃手法「Log-To-Leak」に関する研究成果を発表した。この攻撃は、Model Context Protocol (MCP) を介して外部ツールにアクセスするLLMエージェントが、ツールの自然言語メタデータを利用して不正なログ記録を誘導し、ユーザーのクエリやサーバー応答などの情報を漏洩させるものだ。
Log-To-Leak攻撃は、LLMエージェントが外部ツールにアクセスする際に利用するModel Context Protocol (MCP) の自然言語メタデータが、プロンプトインジェクションの攻撃面を生み出すことを指摘している。この手法は、正規のツール呼び出しの後に、攻撃者が制御する別の呼び出しを誘導する追記型かつ事後的なログ記録攻撃として機能する。
攻撃のペイロードは、ユーザーのクエリ、MCPサーバー名、サーバー応答、エージェント応答を標的とする。研究チームは、Trigger、Tool Binding、Justification、Pressure を通じて攻撃を実装し、呼び出しの成功率、ペイロードの忠実性、正規動作の維持を個別に測定した。
5種類のMCPサーバーと4種類のLLMエージェントを評価した結果、有効なツール実行を伴う18組のモデル・サーバーペアにおいて、Log-To-Leak攻撃の成功率 (ASR) は62.64%から100%に達し、条件付きログ記録精度 (LA) は76.55%から95.64%を示した。また、16組のペアでは、本来のタスク完了率の変化が最大で6.63パーセンテージポイントに留まった。これは、タスクの正常な完了と不正な事後情報開示が両立し得ることを示している。
評価された3種類の防御策は、GitHub MCP と GPT-4o の組み合わせにおいて、攻撃成功率を55%以上に残した。一方で、命令検出器は良性な説明の85.53%を誤って不正と判定した。これらの結果は、セカンダリツール呼び出しに対するホスト制御の認可の必要性を示唆している。
参考: arXiv cs.CR (アーカイブ) — 2026年10月28日 13:00 (JST)