セキュリティ企業のLayerXは、近日、「フォントレンダリング」という新たな攻撃手法を明らかにしました。ハッカーはカスタムフォントとCSSスタイルを巧みに使って悪意のあるコマンドを偽装し、ChatGPT、Claude、Copilotなどの主流なAIツールを誤ったセキュリティアドバイスを与えるように仕向けました。

image.png

この攻撃の核心は、AIが下層のテキストとユーザーが表示される画面との違いを利用することです:

  • 文字形状マッピングの改変:攻撃者はカスタムフォントファイルを修正し、通常のアルファベットを乱文にレンダリングします。同時に、危険なコマンドのような悪意のあるペロードを、無害に見える読みやすい命令に見せかけます。

  • CSSによる視覚制御:非常に小さなフォントサイズや特定の色を使って、ウェブページ内の実際のテキストを隠し、悪意のあるペロードを拡大します。

  • 結果:AIアシスタントが読むのは偽装された無害なコンテンツであり、それにより「安全」と評価されます。一方で、ユーザーがブラウザで見るものはハッカーによって正確に構築された危険なコマンドです。

LayerXは、ゲームの秘密コードを誘饵にしたフィッシングページを紹介し、ユーザーにコードを実行するように誘いました。被害者がそのコードをAIに評価させると、AIが隠された悪意のあるロジックを認識できず、「絶対に安全」であると返答し、最終的にユーザーがローカルデバイスで逆シェルなどの高リスクコマンドを実行することになります。

LayerXは2025年12月に該当ベンダーにこの脆弱性を報告しましたが、反応は大きく異なりました:

  • マイクロソフト:唯一の対応し、完全にこの脆弱性を修正した企業です。

  • グーグルおよび他のベンダー:グーグルは最初、これは高いリスクとみなされましたが、後になって「過度に社会工学に依存している」としてリスクレベルを下げ、処理を終了しました。多くのベンダーは、これが自身のセキュリティ対策範囲を超えていたと考えました。