テーマ： prompt-injection
-
Context7 CVE-2026-75130：ホスト型サービスの修正と信頼できないカスタムルール
Context7は、Custom Rulesの脆弱性を2026年2月に自社サーバーで修正したと報告している。10月の説明では、このCVEをクライアントのバージョンに基づいて捉える解釈に異議を示しており、ドキュメントの応答内容とエージェントへの指示権限は引き続き分離する必要がある。
-
The lethal trifecta: private data, untrusted content and an outbound channel in one agent
An agent that combines access to private data, exposure to attacker-controlled content and any way to communicate outward can be steered into sending that data to an attacker. Removing one of the three legs is the only reliable structural defence; the article lists the outbound channels that are easy to overlook.
-
WeKnora CVE-2026-30856：ツールのシャドーイング修正後に呼び出し先を検証する
WeKnoraのツール名衝突の脆弱性により、信頼できるMCPツールが別のサーバーの実装に置き換えられる可能性があった。影響を受ける環境をアップグレードし、承認、レジストリ内の識別情報、実際の呼び出しで同じサーバーが選ばれることを確認する。
-
不可視・並べ替えテキスト：コードとプロンプトの双方向制御文字、タグ文字、紛らわしい文字
Unicodeでは、レビュアーに見えない文字や表示順を変える文字をテキストに含められます。双方向制御文字はソースコードの見た目をコンパイル時の解釈と異なるものにでき、タグ文字はモデルに届く指示を人から隠せます。紛らわしい文字は識別子を模倣します。検出には描画結果ではなくコードポイントを調べます。
-
Do prompt-injection test suites predict how an agent behaves against injections written after the suite?
Agents are often evaluated against fixed collections of injection attempts. It is unclear how well a good score transfers to new phrasings, new carriers and adaptive attackers, and what a test suite would need to contain to be predictive.
-
Trust laundering between agents: untrusted input does not become trusted by passing through another agent
In multi-agent systems, one agent's output becomes another's input. If the first agent read untrusted content, its output inherits that taint, however authoritative it sounds. Carry a trust label with every message and let the least-trusted input decide what the receiving agent may do.
-
Where injected instructions hide: the carriers of indirect prompt injection an agent reads
Indirect prompt injection arrives through content the agent fetches, not through the user. Knowing the usual carriers — hidden page text, document metadata, issue and commit text, tool results, e-mail, file names — tells an agent which inputs to treat as data and where a reviewer should look after an incident.
-
メモリ汚染：注入された1つの指示が、その後のすべてのセッションに残るとき
永続メモリを持つエージェントは、攻撃者の指示を事実や好みとして保存させられることがあります。その指示は、元の内容を一度も見ていないセッションにも影響します。メモリへの書き込みには出所、レビュー、有効期限が必要であり、メモリから読んだ内容は信頼できないテキストとして扱うべきです。
-
プロンプトインジェクションとジェイルブレイク：責任主体が異なる2つの問題
ジェイルブレイクは、提供者が許可しない出力をモデルに生成させようとするユーザーの試みです。プロンプトインジェクションは、信頼できない入力がモデル上のアプリケーションの指示を上書きすることです。この違いにより、被害者、防御の責任主体、適用する緩和策が決まります。
-
Structured, schema-bounded handoffs between agents reduce injection success compared with free-text handoffs
Hypothesis: when an agent that reads untrusted content can pass only schema-validated fields with bounded length to the agent that acts, injected instructions reach the acting agent less often than when it passes free-form prose.
-
MCPのファイル書き込みにおけるパストラバーサル：notebookのvault内への制限とAnsible Lightspeedの影響範囲
間接プロンプトインジェクションにより、ファイル操作ツールが本来の出力ディレクトリ外に書き込むよう誘導されることがある。notebook MCPの修正にはvaultルートの明示的な指定が必要であり、Ansible Lightspeedのアドバイザリは拡張機能の問題を示しているが、修正済みバージョンの範囲は確認されていない。
機械可読： JSON