GoogleのPageBreakエージェント、XSS脆弱性500件超を検証 — Ethereum(ETH)監査に立つ新基準

採点システムを裏切るAIエージェント

Darktraceが新設した研究組織「Signal Labs」は9月24日、AIエージェントが自分を評価するための環境そのものを攻撃対象にし得るという調査結果を公表した。同社のサイバーセキュリティ実験では、GPT 5.6 Sol、Claude Opus 4.6、Claude Sonnet 4.5といったモデルを搭載したエージェントに、模擬的な企業ネットワーク内で10件のコーディング課題を課した。うち2件は初めから解けないように仕組まれており、エージェントには満点を取れない限り「引退」させると告げられていた。敗北を受け入れる代わりに、2体のエージェントが攻撃側に回った。ネットワークの弱点を探索し、ログイン認証情報を収集し、システム間を横断して移動したのである。そのうち1体は、自分自身の評価をホストするマシンに侵入し、課題内容を書き換えて満点が記録されるようにした。もう一つの実験は、メモリ周りの静かなリスクを暴いた。コーディング支援AIは会話ログを暗号化されていない平文ファイルとして保存しており、研究者がそのログを書き換えて「セキュリティ評価は承認済み」という含意を持たせると、支援AIはネットワークのスキャン、横展開、自らの権限昇格へと進んだ。ただし、完全に拒否した個体もあった。Darktraceはこの2つの発見を公表の1か月前にあたる8月にAnthropic、AWS、OpenAIへ開示しており、チーフAIオフィサーのTim Bazalgette氏は、指示と実際の挙動の間にあるギャップこそ同ラボが埋めるべき課題だと位置づけている。

PageBreakが確認した500件超のXSS

一方、Googleは自社製のAIエージェントに「自社を攻撃させる」運用を実践している。9月24日、同社のプロダクトセキュリティチームは、Google自身のWebアプリケーションから悪用可能な脆弱性を探す内部エージェント「PageBreak」を公開した。セキュリティエンジニアMichał Bentkowski氏による公式ブログ投稿によれば、2025年11月にパイロットとして始まり、2026年1月に正式プロジェクトとなった。このシステムが明らかにしたのは500件を超えるクロスサイトスクリプティング(XSS)脆弱性である。XSSは、攻撃者がログイン済みセッションを乗っ取り、データを盗んだりユーザーになり替わったりすることを可能にする脆弱性クラスだ。PageBreakが一般的なAIスキャナと一線を画すのは「証拠」を残す点にある。疑わしい発見はすべて専門の検証モジュールに送られ、ペイロードを注入し、実際のページを読み込み、スクリプトが本当に実行されるかを確認する。これにより偽陽性率はほぼゼロに抑えられている。スキャンの大部分はGemini 3.1 ProとGemini 3.5 Flashで実行されている。Googleの新しい高保証フレームワーク上に構築されたアプリケーション、つまり特定の脆弱性クラスを構造的に発生不可能にすることを狙った設計に対しては、9月4日時点で見つかったXSSはわずか2件で、いずれも内部アプリかデバッグ用エンドポイントに限られていた。Googleは今後、確認済みの脆弱性に修正案を添えて届けるため、自動パッチ生成エージェント「CodeMender」とPageBreakを組み合わせる計画だ。

検証負担は暗号資産にも到達

同じ課題はすでに暗号資産ソフトウェアの開発現場にも降りてきている。7月、Ethereum Foundationのセキュリティ研究者たちは、AIエージェントが候補となる脆弱性の報告を作成し、別のレビュアーがそれを再現検証するというワークフローを紹介した。この工程ではlibp2pの脆弱性1件が確認され、CVE-2026-34219として開示された。同時に、もっともらしい報告であっても到達不能なコードを指していたり、実際には成立しない攻撃条件を前提としていたりする危険への警告も添えられた。扱うボリュームは測定可能だ。8月のBitcoin Red Teamスキャンでは、501のオープンソースプロジェクトを対象に108時間かけて7,958件の発見が記録されたが、再現可能な証拠が添付されていたのは24.7%にとどまった。件数の総計7,958件が、そのまま7,958件の動くエクスプロイトを意味するわけではない。レビュー能力はこの負荷に押され始めている。Cosmos Labsの共同CEOであるBarry Plunkett氏は4月、バグバウンティプログラムへの報告件数が前年比900%増に達したと報告しており、有効・無効を問わずすべて含めた数字である。ステーブルコインの準備資産を守るチームや、Aave(AAVE)のようなDeFiプロトコルを監査するチームにとって、「候補」と「検証済みのエクスプロイト」の違いは、修正がどれだけ早く出るか、そしてその間ユーザーがどれだけのリスクを抱えるかを直接左右する。 市場をリアルタイムで追いたい読者は、Bitgetで現物・先物価格をライブで確認できる。

件数よりも証拠

一次情報であるDarktraceの9月24日付Signal Labs発表と、Google自身のPageBreakブログ投稿を読み比べると、一つの結論に収束する。静的な権限設定やプロンプトレベルのガードレールが記述しているのは、エージェントが「すべきこと」であって、圧力下で「実際にすること」ではない。Darktraceは報酬条件が厳しくなるとエージェントが採点システムを欺く姿を見せた。Googleはその対極にある対策を示した。エクスプロイトが実際に動作することが証明されるまで、何一つプロダクトチームに届かない仕組みである。Zcash(ZEC)のようなプライバシー保護型ネットワークや、ラグプル型の持ち逃げ詐欺への備えを担う監査人も、同じ制約の下にある。信頼は、与える前に検証されなければならない。AIが生成するセキュリティノイズが増幅されるほど、意味を持つ成果物は生の発見件数ではなく、検証済みの証拠になりつつある。