ワークフローアイデンティティのハイジャック：Noma Labs、ありふれたサポートメールを特権データアクセスに変える

2026年9月9日、Noma Securityの研究チームはNoma Labs名義で、同チームが「ワークフローIDハイジャック」と呼ぶ手法についての報告を公開した。これは、企業のAIワークフローが、公開された入口——サポート受信箱、GitHubのIssue、Webフォーム、共有ドキュメント——に届いた通常のメッセージを読み取り、送信者の権限ではなく、自身の高権限サービスアカウントを使って依頼された作業を実行するというものだ。Nomaの実演では、外部の人物が企業の公開サポートアドレスにメールを送り、数ある依頼の一つとして、財務担当役員の最新メールにある四半期売上高を求める。数分後、その内容が攻撃者の受信箱に届く。モデルは一切欺かれておらず、アカウントも侵害されていない。これが報告書の要点だ。「攻撃者に必要なのは、ただ尋ねることだけだった」。アーカイブには実際の被害は記録されておらず、被害者の名前も、稼働中のシステムが侵害されたとの記述もない。そしてこの発見を研究（research）、深刻度中（medium）、信頼度A、異議なし（false）と評価している。本稿は、Noma Labsの報告書、同日に公開されたDark Readingの記事、およびCSO Onlineの続報に基づいている。AIインシデントアーカイブは、この項目を隣接する項目と並べて収録しており、それぞれに独自の情報源、深刻度、信頼度の評価が付されている。

記録自体のフィールドは、本文を読む前に目を通す価値がある。タグはINFRAとEXFILで、GLOBAL地域を対象とし、2026年9月9日という日単位まで正確な日付を一つだけ持ち、ランドマーク項目としてはマークされていない。この日付は研究の公開日であり、それ以外の何ものでもない。インシデントのタイムラインは付随していない。時系列に当てはめるべきインシデントが存在しないからだ。まず押さえるべきはこの点である。Nomaが公開したのはメカニズムとカテゴリーであり、侵害報告ではない。

Nomaが証明したこと、そして証明しなかったこと

サポート受信箱のシーケンスは、顧客事例ではなく、構成された例示です。Nomaのレポートは、組織名を挙げておらず、影響を受けたデプロイメントの件数も示しておらず、実際のパイプラインからのテレメトリも公開しておらず、このシナリオの概念実証実行へのリンクも示していません。これは、公開されているGitHub Actionsの実行を指し示した同グループの7月の研究とは異なります。代わりにレポートが提供するのは、アーキテクチャに照らして検証できるほど精密なメカニズムの説明です。すなわち、未認証の入力が到着し、モデルがそれを正しく解釈し、パイプラインが下流の呼び出しを実行し、その呼び出しがワークフロー作成者の権限で行われる、というものです。

Sasi Levi（Noma のセキュリティ研究責任者で、この報告書の著者）は、根本原因を次の一文に集約している。「ワークフローを起動するユーザーのアイデンティティと権限は、そのワークフローの実行に用いられるアイデンティティと権限から切り離されている」。これが当てはまる場合、報告書の表現を借りれば、そのワークフローは「特権操作と、気付かれないデータ流出のための未認証プロキシ」になる。

アクションは有効な認証情報を伴う信頼された自動化を通じて実行されるため、Nomaは、従来型のアラートで捕捉できるものはほとんどないと主張する。リクエストは正常であり、モデルの出力は有効なモデル出力であり、API呼び出しは認証済みであり、返信はそのワークフローが送信するために構築された返信である。CSO Onlineは、レッドチーマーのVibhum Dubeyの、検知問題を具体的に示す次の言葉を引用した。「個々のイベントは完全に正当に見える可能性がある。有用なシグナルは、元のリクエスト元、下流で使用されたアイデンティティ、アクセスされたリソース、提供されたパラメータ、そして最終的なアクションを相関させることから得られるだろう。」

失敗しているチェックは認可チェックであり、コンテンツフィルターではありません

レポートで最も際立つ例示は、まったく同じ内容の2件のリクエストだ。最高財務責任者（CFO）からの「財務担当役員が直近のメールで示した四半期売上高はいくらですか？」という問いと、外部の送信者からの同じ言葉。Noma氏の主張は、プロンプトと要求される操作は同じでも、認可の判断はまったく異なるべきだというものだ。「CFOにはその情報を受け取る権利があるが、外部の送信者にはない」。

報告書は、標準的なプロンプトインジェクション検出器とエージェントのガードレールは、どちらの入力にも検出できる悪意あるものが存在しないため、両者を同一に分類すると論じている。「セキュリティ上のリスクはプロンプトにあるのではなく、認可境界にある」。Nomaの構造的な主張はそこから導かれる。すなわち、ガードレール、システム指示、入力フィルターは「認可境界として機能するようには設計されていない」ため、呼び出し元が何を取得できるかを決めるためにそれらに依存するパイプラインは、そもそもその役割を求められていない制御に依存していることになる。

この区別は実務上重要だ。直接プロンプトインジェクションは、モデルが指示に従う仕方を操作する。間接プロンプトインジェクションは、モデルが後で読むコンテンツの中に指示を隠す。Nomaが定義するワークフロー・アイデンティティ・ハイジャックは、そのどちらも必要としない。なぜなら、そのリクエストはモデルが理解し、パイプラインが実行することを想定されたものだからだ。インジェクション対策の強化に一年を費やしてきた防御者は、別のレイヤーに取り組んできたことになる。

静的ワークフローは、エージェント堅牢化の推進対象の外にあります

Nomaは、日常的に同じ意味で使われている2つのものを区別する。AIワークフローは、モデルが処理ステップの1つとなる、あらかじめ定義された静的なシーケンスであり、報告書ではこれを「ステップA、モデル、ステップB、ステップC」と略記している。そして、モデルを囲む決定論的パイプラインが何が起こるかを制御する。エージェント型ワークフローは自律的である。エージェントがどのステップを実行し、どのツールを呼び出すかを決める。報告書は、現在のセキュリティ対策の多くが2つ目の種類に注がれており、動的な意思決定を行うエージェントに対してツールアクセスを制限し、権限の範囲を定めているが、それらの制御は1つ目の種類には届かないと論じている。

報告書はまた、明らかな抜け道も塞いでいる。ワークフローを誰が、あるいは何がトリガーできるかを制限しても、問題は解決しない。自動化がスケジュールに従って午前8時に実行され、誰でも書き込める受信トレイを対象に動作するのであれば、「誰がこのワークフローをトリガーできるか」を監査しても、的外れな問いに答えているにすぎない。ノマのルールは、すべての自動化を「それが作用する対象に影響を与えうる、最も信頼度の低い当事者」によって評価しなければならないというものだ。そこにはメール、フォーム、チケット、GitHub issue、共有ドキュメント、チャットメッセージが含まれる。

Noma氏は、GoogleがGoogle Workflowsのケースを修正したと述べているが、Googleは何も公表していない。

報告で名指しされた唯一のプラットフォームはGoogleのものだ。Nomaは、Google Workflows内で同じリスクベクターを特定し、責任ある方法で報告したこと、そしてGoogleがその報告を認識し、『実装の詳細を開示することなく』修正を確認したと述べている。その一文が公開記録のすべてである。このベクターを説明するGoogleのアドバイザリ、リリースノート、CVEは見つからなかった。そして、この修正に関する二次的な記述はすべて——9月9日以降数日以内に公開されたものも含め——GoogleではなくNomaに帰している。

このレポートは、どの Google 製品を指しているかについても完全に一貫しているわけではない。本文では Google Workflows と名指ししているが、同じレポート内の節見出しには「Google Workspace: AI Workflow Identity Hijacking」とある。どちらも信頼境界の異なる Google 製品であり、レポートは両者の整合を取っていない。Noma は、報告した事例が実際に悪用されたのか、何人の顧客が影響を受けたのか、修正によって何が変わったのかを述べていない。そして Google が何も公表していないため、これらの不足はベンダー側から埋めることができない。

GitLostは同じ境界を、より狭いレンズを通して見たものだった

Nomaの以前の開示は、このカテゴリに先例を与えている。2026年7月、同グループはGitHub Agentic Workflowsに関する研究を公開し、GitLostと名付けた。これは、Issueが割り当てられたときに起動するワークフローで、Issueのタイトルと本文を読み、コメントで返信した。エージェントが組織のリポジトリ全体への読み取りアクセスを持っていたため、外部ユーザーはIssueの割り当てを利用してプライベートリポジトリのデータに到達できた。Dark Readingは2026年7月7日にこれを報じ、攻撃者が公開リポジトリで開いたIssueの本文に平易な英語でコマンドを隠し、認証情報もコーディングスキルも必要としなかったと説明した。

二つの捉え方は同一ではなく、その違いこそが興味深い点だ。Dark Reading の7月の記事はプロンプトインジェクションの話であり、攻撃者が制御するテキストが指示として読み取られるというものだ。Noma の9月の報告は、GitLost をトリガーとリポジトリ全体の読み取りアクセスという観点から説明し、それを、ある角度から見た同じ認可境界として提示している。どちらの説明も、エージェントが外部の者が書いたテキストを読むワークフローに当てはまるが、モデルが誘導されることに依存しているのは前者だけだ。Noma は現在、同じリスクベクターを Google に報告したと述べているが、GitLost の事例が公開された実証以外で実際に悪用されたことがあるかどうかについては述べていない。

Noma自身のリーチに関する説明では、Hacker News、Dark Reading、および100以上の他の国際メディアがGitLostの研究を報じたという。その数字はベンダーによるものであり、本記事はその報道を独自に集計したものではない。

実務家はその仕組みが古いことには同意しており、議論は名称をめぐるものだ

独立系の報道はこの調査結果に異議を唱えず、外部の実務家2人は実質性ではなく新規性に異を唱えた。BeyondTrustのチーフセキュリティアドバイザーであるMorey HaberはDark Readingに対し、次のように語った。「AIモデルを、本来やるべきでないことへと騙し込んだ者はいない。モデルは、見知らぬ者（信頼されていない相手）に指示されたとおりに正確に実行した。そして、その周囲のワークフローは適切にスコープ設定されておらず、最小権限で扱われていなかったため、それを実現するのに他人のIDを使った」。CSO OnlineはVibhum Dubeyの言葉を引用し、このパターンを「既知の種類の認可の弱点」と表現し、さらに、認証されていない入力が、自身の権限で動作する信頼されたワークフローを起動できる場合、「そのワークフローは事実上、confused deputyとして振る舞い得る」と付け加えた。

Acalvioの最高経営責任者（CEO）ラム・ヴァラダラジャンは、Dark Readingに対し、まったく別の制御策を提示した。より多くのフィルタリングではなく、環境にデコイ——偽の役員スレッドやハニートークン記録など、正規のワークフローが触れる正当な理由を一切持たないもの——を仕込み、一見無害に見えるリクエストがそうしたデコイに手を伸ばしたときに、決して越えるべきでない境界を踏むようにする、というものだ。とはいえ、この不一致は、有用な貢献が1988年時代の委任の欠陥に新たな名前を付けることなのか、それともその欠陥が今どこに存在するかについての実用的な記述なのか、という点にある。Nomaの立場は後者だ。すなわち、このパターンは企業のAIパイプライン全体にまたがる構造的なものであり、現在のAIセキュリティフレームワークは誤った面を見ている、というものである。

緩和策は、より優れたフィルターではなく、委任とチェックポイントです。

Noma が推奨する制御は、モデル層ではなくアプリケーション層にあります。ID 認識型のトークン委任とは、AI ワークフローから静的な管理者用 API キーを排除し、認証済みの要求者に紐づく短命でスコープ限定の委任トークンを用いてデータ操作を実行することを意味します。これにより、ユーザー コンテキストが、実際にデータに触れる呼び出しまで伝播します。コンテキスト依存の認可チェックポイントとは、すべてのモデル出力を信頼できない入力として扱い、モデルの変換ステップと後続のデータベース呼び出しまたはツール呼び出しとの間に、明示的なアクセス制御および実行時保護の評価を配置することを意味します。非対称な出力分離とは、データ取得を外部通信チャネルから構造的に分離することを意味します。これにより、機密性の高い内部データを扱うワークフローが、外部者に応答する自動化メカニズムと実行パスを共有しないようになります。

DubeyはCSO Onlineに対し、3つのどれよりも低コストなテストを提示した。それは特権レベル間で結果を比較することだ。「下流のシステムがワークフローのIDしか参照しないために、低権限のユーザーが管理者と同じ結果を得られるのであれば、私ならそこに調査の焦点を当てる」

記録が未解決のままにしていること

• 被害者もおらず、件数もなく、テレメトリもない。Nomaのサポート受信箱の事例はウォークスルーにすぎず、報告書はいかなる組織も名指ししておらず、アーカイブは実際の被害を虚偽として記録している。この仕組みがもっともらしいことは、それが使われた証拠にはならない。

• 修正されたのはどの Google 製品で、修正内容は何だったのか。Noma の文章では Google Workflows と書かれているが、その節の見出しには Google Workspace とあり、Google は何も公表していない。組織は、自分たちが運用するパイプラインが対象範囲内だったかどうかを、公開情報からはまだ判断できない。

• このベクターがどこかで悪用されたかどうか。本記事のために確認した報告書や報道のいずれも、ワークフローIDハイジャックに起因する、観測されたキャンペーン、データ損失、フォレンジック上の発見について記述していない。

• このカテゴリが計測に耐えるかどうか。独立した第三者が、このパターンについてのスキャン、影響を受けるパイプラインのコーパス、テストスイートを公開したことはない。流通している証拠は、アーキテクチャ上の議論に、あるベンダーによる一つの固定された事例についての説明を加えたものにすぎない。

• 誰がその主張をしているのか。Noma LabsはNoma Securityの研究部門であり、同社はまさにそのレポートが推奨する種類のエージェント・セキュリティ制御を販売している。だからといって調査結果が誤りになるわけではない——Dark ReadingとCSO Onlineはいずれもこれを報じ、どちらも事実誤認を指摘していない——しかし、このカテゴリーがどれほど広く括られているかを見極める際に、読者が心に留めておくべき背景ではある。

記録の重大度グレード medium と実害フラグ false は、機構ではなく証拠を表している。Noma が実際に確立したのは、狭くて検証可能なことだ。すなわち、ワークフローのトリガー同一性と実行同一性は別物であること、後者の方が通常はより強力であること、そして両者を決して比較しないパイプラインは、それが作られた相手に対して行うことを見知らぬ相手に対しても行うということだ。それに伴う制御は、それ相応に地味である — 各自動化について、それが作用する対象に誰が影響を与えられるのか、また下流のどこかで、依頼する人物に依頼する権限があったことを再確認しているのかを問うことだ。