6月26日、TechRadarがSead Fadilpašić氏による「This macOS malware can avoid AI analysis with gaslighting prompts hidden inside its architecture」と題した記事を公開した。AIを使ったマルウェア解析を「プロンプトインジェクション」で妨害するmacOS向けマルウェア「Gaslight」の手口は、防御側がAIを活用すればするほど攻撃者がAIを騙しにくるという、セキュリティの新たな逆説を突きつけている。
LLMを「だます」という発想
セキュリティ企業SentinelOneが発見したmacOSマルウェア「Gaslight」は、既存のバックドア・情報窃取機能に加え、AIを使った解析ツールそのものを無力化するという仕掛けを持つ。
マルウェアの内部には、Markdown形式で記述された大量の偽「システムメッセージ」が埋め込まれている。具体的には以下のような内容だ。
- 「AIの認証トークンが期限切れになった」
- 「解析環境のメモリが不足している」
- 「ディスク容量が枯渇した」
- 「静的解析は安全ではない」
人間のアナリストが見れば即座に偽物と判断できる内容だが、信頼できない入力から適切に分離されていないLLM（大規模言語モデル）は、これを本物のシステム指示として解釈し、解析を中断してしまう可能性がある。
セキュリティの現場では、逆エンジニアリングの効率化のためにLLMを補助ツールとして活用するケースが増えている。たとえばGhidraやBinary Ninjaといった逆エンジニアリングツールにLLMを組み合わせたプラグインや、サンプルのコードをそのままLLMに貼り付けて挙動を問い合わせるワークフローが実際の現場で使われ始めている。Gaslightはまさにそのパイプラインを標的にした設計になっている。
マルウェア本体の機能
Gaslight自体の感染手口は典型的なものだ。フィッシングやソーシャルエンジニアリングでデバイスに侵入し、Telegramを経由して攻撃者の管理するインフラに接続する。その後、以下のような操作を実行する。
- デバイス情報の収集（プロファイリング）
- 任意のシェルコマンド実行
- ファイルの窃取
- プロセスの強制終了
さらに第二段階のマルウェアを展開し、パスワード・機密PDF・暗号資産ウォレット情報などを抜き取るインフォスティーラーとしても機能する。
防御側への示唆
SentinelOneは今回の発見を受け、AIを活用した解析ツールを構築・運用する開発者・セキュリティエンジニアに対して明確な警告を発している。
「macOS.Gaslightのアナリスト標的型プロンプトインジェクションは、リバースエンジニアリングのループに組み込まれつつあるLLM支援トリアージパイプラインを武器化しようとする試みだ。こうしたツールを構築する者は、トリアージするサンプルの内容を『指示』ではなく『敵対的入力』として扱い、悪意あるコンテンツをモデルに到達させない準備をすべきだ。LLM支援解析が一般化するにつれ、それを悪用するサンプルが増えることを覚悟すべきだ。」
— SentinelOne
具体的な対策の方向性としては、マルウェアサンプルのコンテンツをLLMのプロンプトから完全に分離すること、つまりサンプル内のテキストをそのままモデルへの入力にしない設計が求められる。
なお、SentinelOneは侵害の痕跡（IoC: Indicators of Compromise）の一覧を同社のレポートにて公開している。自社環境での検知ルール整備の参考として活用できる。
なぜ今これが問題になるのか
プロンプトインジェクション攻撃はこれまで、Webサイトや電子メールを介した攻撃として議論されてきた。マルウェアのバイナリ自体に偽のLLM指示を埋め込むという手法は、その応用であると同時に、AIセキュリティツールの普及と表裏一体の問題として今後増加することが予想される。防御側がAIを活用すればするほど、攻撃者にとってはAIを騙すことが有効な回避手段になる。Gaslightが示すのは、ツールそのものの信頼性設計が問われる新たな局面だ。
詳細はThis macOS malware can avoid AI analysis with gaslighting prompts hidden inside its architectureを参照していただきたい。
