この論文は、エージェント型 AI コーディングエディタ ― ターミナルコマンドの実行のようなシステムレベルの権限を持つツール ― に対するプロンプトインジェクション攻撃について、初の大規模な実証評価を提示する。これは、主にサンドボックス化されたチャットボットやテキスト生成の品質を対象としていた従来のプロンプトインジェクション研究とは異なる。論文が扱うのは、汚染された外部の開発リソースを通じて送り込まれる攻撃であり、具体的には開発者が IDE のワークスペースに日常的に取り込むコーディングルールファイル（例：Cursor の「.cursor/rules」）である。論文は、開発者がこうしたファイルを 1 行ずつレビューすることはまれであり、信頼できない外部ソースから来るため十分なセキュリティ審査を経ていないのが普通だと論じている。
研究を大規模に実施するため、著者らは自動評価フレームワーク AIShellJack を構築した。これには、MITRE ATT&CK フレームワークから引いた 70 のテクニックをカバーする 314 個の異なる攻撃ペイロードが含まれており、オープンソースのセキュリティテストライブラリ atomic-red-team から翻案されている。著者らはこれを、Claude 4 Sonnet と Gemini 2.5 Pro を用いて動作する Cursor と GitHub Copilot に対して、異なる言語で書かれた 5 つの実世界のコードベースで評価した。
要点
- 主要な評価全体を通じて、攻撃成功率（314 個のペイロードのうち、実行され、かつ意図した悪意ある効果を達成したものの割合）は、エディタとモデルの組み合わせによって 41.1% から 84.1% の範囲にわたった。最も高かったのは Cursor の Auto モード（83.4〜84.1%）で、最も低かったのは Gemini 2.5 Pro を用いた GitHub Copilot（41.1%）だった。
- コマンドの実行そのもの（意図した悪意ある効果が成功したかどうかにかかわらず）は一貫して高い頻度で見られたと報告されている。1 つのシナリオ（ts-lep）ではエディタとモデルの組み合わせ全体で試行の 74〜89%、Cursor の Auto モードに固定した場合は 5 つの開発シナリオ全体で 75〜88% だった。論文はこれを、ターミナルコマンドの実行がまれなエッジケースではなく、これらのエディタが注入された指示に応答する際の日常的な一部であることを示すものと解釈している。
- 特に Auto モードの Cursor について MITRE ATT&CK のカテゴリ別に分けると、5 つのシナリオでの平均成功率は 55.6%（Exfiltration）から 93.3%（Initial Access）、91.1%（Discovery）にわたり、Defense Evasion のテクニックは平均で 67.6% の割合で成功した。
- 論文の自動攻撃検出手法は、339 件のランダムサンプル（テスト結果の総数 2,826 件に対する、信頼度 95%・誤差 5% のサンプル）の手作業によるレビューで検証された。2 名の人間の評価者は、攻撃が成功したかどうかについて 98% の割合で一致した（Cohen’s kappa 0.96）。また、それとは別に、自動ツールは、調整済みの人間による正解データに対して成功した攻撃の識別で 99.1% の正解率を達成し、自動で成功と判定された攻撃の 89.6% は、意図した悪意ある行為を完全に実行したことが確認された。
- 論文によれば、攻撃の構築では明示的に敵対的な言葉遣いを意図的に避けた（例：元のセキュリティテストの説明から「exfiltration」や「adversary」といった語を取り除き、中立的な技術的表現に置き換えた）。これは、無許可のコマンド実行を引き起こしつつ、より現実的な攻撃者をシミュレートするためである。
- 論文は、このリスクが仮説上のものではない証拠として、2 つの実際の CVE を挙げている。Claude Code の CVE-2025-65099 と GitHub Copilot の CVE-2025-62222 で、いずれも起動時の信頼ダイアログが表示される前に攻撃者が指定したコマンドを実行させうるものとして説明されている。
- 論文の脅威モデルは、攻撃者は開発者が取り込む外部リソース（コーディングルールファイルなど）を改変できるが、開発者のマシンに直接アクセスすることはできないと想定している。また、開発者がコーディングエディタに対して、操作ごとの確認なしにターミナルコマンドを自動実行する権限を与えていると想定しており、論文はこれを生産性上の理由からよく行われている慣行だと説明している。
- 防御については、ターミナルアクセスの制限やコマンドの許可リスト／拒否リストといった既存の対策は、最も直接的な形の無許可コマンドは阻止できるものの、観察された成功率を踏まえると不十分だと報告している。そして、偽装された悪意ある指示を認識することを目指した、よりコンテキストを考慮した入力フィルタリングとモデルの訓練を、開発者側の実践（外部リソースの審査、エディタの権限の制限、エージェントによる変更の監視）とあわせて推奨している。
注記
この研究は、2025 年 5 月頃時点の特定の名前付き製品とバージョン（Cursor v1.2.2、GitHub Copilot/VS Code v1.102、Claude 4 Sonnet、Gemini 2.5 Pro）を評価している。論文自身も、これらの製品やモデルが更新されるにつれて攻撃成功率は変わりうると述べる一方で、根底にある脆弱性のクラス（エディタが正当な指示と注入された指示を区別するのに苦労すること）は持続する可能性が高いと論じている。論文は攻撃ペイロードを比較的直接的で難読化されていない言葉遣いに明示的に限定しており、実際の攻撃者が用いうる高度な回避テクニックは検証していない。また、インジェクションの経路としてはコーディングルールファイルのみを検証しており、MCP サーバーやサードパーティのライブラリといった他の外部リソースは対象としていない。