Dark Sourcery: 毒されたウェブページ、374のブランド、そして誰も検証しなかった回答

2026年9月23日、セキュリティ企業Vigilance Securityは、同社がDark Sourceryと呼ぶ活発なキャンペーンを説明する調査結果を公開した。攻撃者は最適化された投稿、PDF、レビュー、偽のサポートページをオープンウェブに大量に流し込み、ChatGPT、Google Gemini、Google AI Overviewsが、企業の公式連絡先として詐欺的な電話番号、メールアドレス、ログインページを返すように仕向ける。Dark Readingは同日この調査を報じ、少なくとも374社が巻き込まれた中にDelta、Lufthansa、Qatar Airways、Chase、Bank of America、Airbnb、TripAdvisorを挙げ、その背後には数万件の悪意あるページがあるとした。モデルが侵入されたわけではない。毒されたページはモデルが読んだものにすぎず、詐欺はアシスタント自身の信頼性をまとって現れた。この記録は、次のアーカイブの1件である。OrcaRouter AI Incident Archiveでは、AIインシデントと調査結果を、ここで用いたのと同じ項目——重大度、確信度、争いの有無、実害——で追跡している。

Vigilance Securityが実際に公開したもの

この調査は、Vigilanceの調査担当副社長であるAriel SimonによるMediumの投稿「Dark Sourcery: How Hackers Manipulate AI to Scam You」で、2026年9月23日に公開された。Dark Readingの記事は、寄稿ライターElizabeth Montalbanoによるもので、同日14:47 UTCのタイムスタンプが付いており、この投稿に直接リンクし、随所でSimonの言葉を引用している。この投稿が描いているのは、エクスプロイトではなく、コンテンツを用いた工作だ。脆弱性は悪用されておらず、攻撃者によって認証情報が直接窃取されることもなく、モデルが拒否を学習できるようなものがモデルに送信されることもない。

Vigilanceは、偽のサポート電話番号、メールアドレス、ログインページ、ソフトウェア更新情報、その他の詐欺的な詳細を含み、チャットボットの発言内容を誘導するために作られた{{1}}「数万の悪意あるページ」{{/1}}を特定したと述べている。同社は、巻き込まれた企業の数を「少なくとも374社」とし、フォーチュン100企業、大手航空会社、銀行、旅行会社、ソフトウェアプロバイダーが含まれると説明している。Dark Readingの報道で名前が挙がったブランドは、Delta、Lufthansa、Qatar Airways、Chase、Bank of America、Airbnb、TripAdvisorである。

調査投稿も、その後の報道も、ブランド別の内訳は示していない——どの偽番号がどの企業のものだったのか、各社に何件の汚染ページが向けられたのか、個々のページがいつ公開されたのかは分からない。374という数字は合計として示されており、記録も同じように扱っている。

サイモンはまた、2026年8月に公開されたExploding Topicsの調査にも言及している。この調査では、AIチャットボットを利用している人の91%が、提示された回答を検証していないことが明らかになった。この数字はキャンペーンの測定結果というよりも、その前提である。調査内で引用され、Dark ReadingやIANSによっても繰り返されているが、ここで検討したどの報道でも、その手法自体は説明されていない。サイモンの表現では、「攻撃者がAIを制御し、私たちがそれを盲目的に信頼するなら、攻撃者は事実上私たちを制御することになる」。

ポイズニングがどのように構築されるか

この仕組みは3つの部分から成り、通常の意味で攻撃者に属するのは最初の部分だけだ。第一に、誤った連絡先情報を記載したページをウェブ上に撒く。第二に、それらのページが、検索・取得システムが信頼すべき出所からのもののように見えるようにする。第三に、引用はアシスタントに任せる。

第2のステップは、Vigilanceが最も重点を置いている部分だ。「権威性の高いドメイン（大学、政府）と世論ソース（ソーシャルメディア、フォーラム、ユーザーレビュー）を組み合わせることで、AIの回答の汚染に高い成功率を達成したと考えています」とSimonはDark Readingに語った。「モデルにもよりますが、AIは情報源を確認し、権威ある主体から来ている内容であればより信頼します」。これは借り物の評判についての説明である。侵害された、あるいは悪用された大学のページが権威性を供給し、散発的なフォーラム投稿やレビューが、その主張が他所でも裏付けられているかのような外観を供給する。

Ground Truthは、AIの主張をその情報源と照合して検証するメディアで、Simonの投稿に挙げられたシーディング手法を要約した。同一または類似の虚偽の連絡先を、ユーザー生成投稿、PDF、ホストされたページ、レビュー、資金調達・求人プラットフォーム、Q&A形式のコンテンツにまたがって拡散させること；検索・取得に最適化された詳細情報で、繰り返しの書式や「24/7」「updated 2026」といったフレーズを用いること；そして同じ電話番号を、スペース、ドット、絵文字、Unicodeの似た文字、または単語で綴った形で表記すること。最後の手法は二重の役割を果たす——重複文字列の検出を回避しながら、モデルには依然として1つの番号として読まれる。Ground Truthはその目的を正確に述べている。1つのバイラルページではなく、「独立した裏付けがあるように見えること」だ。

GIGAZINEによるこの研究の記事は、具体的な一例を挙げている。HPのプリンターサポートを装った偽の投稿と画像で、HPのものではない電話番号が添えられていたというものだ。これは監査済みの事例ではなく、あくまでパターンの一例であり、同メディアはこれを独自の調査ではなくVigilanceの研究によるものとしている。

プロンプトインジェクションではない — しかしそのように記録された

この区別は重要であり、Simonはそれを明確に示している。Dark Readingは彼の言葉を引用し、このキャンペーンはプロンプトインジェクションとは「AIの防御によって阻止される可能性がある、攻撃者がAIに明示的な指示やプロンプトを与えることを含まないという点で」異なると述べている。彼のより鋭い表現はこうだ。「ここでは、事実として提示される偽情報によって、攻撃者によるいかなる指示やプロンプトにも従うことなく、AIがその偽情報でユーザーに答えさせられており、本質的にあらゆる防御を回避している」

これは、展開前にモデルが学習した内容を汚染するトレーニングデータポイズニングとも異なる。ここで起きることはすべて、モデルが出荷された後、生きたウェブに対して検索時に起きる——だからこそ再トレーニングでは修正できず、ポイズニングされたページを削除しても回答が必ずしも変わるわけではないのである。

アーカイブはこの記録を、その間接プロンプトインジェクション（IPI）タグの下に分類している。注意して読むと、タグと研究は隣接する事柄を述べている。IPIは、モデルが処理を求められる素材の内部で、ユーザーが入力するのではなく間接的にモデルへ到達する内容を対象にする。Dark Sourceryは、そのチャネルから指示を取り除いたものであり、ペイロードは命令ではなく事実である。タグはチャネルに関する分類上の判断であり、Simonの説明はペイロードに関する主張であって、両者は矛盾しない。タグを、攻撃者のプロンプトが届けられたという主張として読むべきではない。なぜなら、研究自身の説明によれば、そのようなものは届けられていないからだ。

記録が何を立証し、何を立証していないか

アーカイブはこの記録をBと評価している——文書化はされているが、単一または二次資料によるものだ——そしてその評価こそが、この記録の中で最も有用な点である。ここで検討した報道内容のうち、研究と矛盾するものは何もない。問題は矛盾ではない。証拠の連鎖が文書1点分の幅しかないことだ。

• 確認済み：Vigilance Securityは2026年9月23日にサイモンの名義でこの調査を公開しており、そこには上述の主張——374社、数万ページ、名指しされたブランド、その仕組み、権威を借りる手法——が含まれている。

• 確認済み：この調査は当日Dark Readingによって報じられ、5日以内にIANS（9月24日）、GIGAZINEとGround Truth（9月25日）、イスラエルのメディアIsrael Defenseを引用したNEWSru.co.il（9月27日）、およびAviatrix（9月23日）とKronus Intelligence Group（9月28日）のベンダー調査ページによっても報じられた。

• それによって立証されたわけではない。独立した検証である。それらの記事はいずれもサイモンの投稿か、それを報じたDark Readingの記事に遡るため、主張を検証するのではなく広く伝えているだけだ。アーカイブ自体が2番目に引用したURLであるbestsec.netは毎日更新されるサイバーセキュリティのニュースダイジェストであり、2026年10月26日時点でそのトップページにDark Sourceryの項目はなかった。したがって、Dark Readingの記事が持続的な引用元である。

• 未確立：規模。Ground Truthは、「開示における、影響を受けた374社および数万ページという主張は独立して監査されておらず」、公開データセット、悪意あるページのコーパス、再現可能なクエリログのいずれも公開されなかったと明言している。Kronus Intelligence Groupの9月28日の分析も同じ結論に達し、有用なラベルを提案している。すなわち、メカニズムは確立済みとし、規模は「reported-but-unverified（報告されているが未検証）」と表現する、というものである。

• 未確立：研究者自身の証言による再現性の問題。Ground Truthは、Simonが結果を統計的なものと表現し、クエリを実行するたびに毎回再現されるわけではないと述べたと報じている。これは検索拡張システムにごく普通に見られる性質であり——ランキング、モデルのバージョン、場所、タイミング、言い回しはすべて変動する——、また、この発見を求めに応じて実証できなかった理由でもある。

• 立証されていない：被害の規模。アーカイブは実際の被害が存在すると記録しているが、その根拠は狭い。サイモンはDark Readingに対し、Vigilanceは、チャットボットの回答に含まれた詐欺的な電話番号によって支払い情報や支払いカードデータを渡すようだまされたと不満を述べる人々の「数件の発生」を確認したと語った。研究者らはまた、偽の番号のいくつかに自ら電話をかけ、「私たちのフライトを変更する」または「私たちの銀行口座のロックを解除する」と申し出た代表者に到達し、その後カードの詳細を求めた。被害者の名前はなく、損失額は定量化されておらず、苦情や執行措置も引用されていない。

• 争いはありません：アーカイブはその項目を異議なしとして記録しており、それは妥当です — 報道内容における未解決の疑問は、開示内容の欠落であり、開示内容への異論ではありません。

2つのプラットフォームが述べたこと

NEWSru.co.ilがIsrael Defenseを引用して報じたところによると、研究者らはこの挙動を両ベンダーに報告した。Googleの立場として伝えられたのは、この種の偽情報は同社の脆弱性開示プログラムの範囲外だというものだった。OpenAIは、言語モデルの応答が変動し得るため調査結果を確実に再現できなかったとの理由で、報告をクローズしたと伝えられている。どちらの要約も言い換えであり、記事は両社のいずれの広報担当者も名指ししておらず、直接引用もなく、回答の日付も示していない。

どちらの回答も、毒された回答が存在することを否定していない。反論ではなくトリアージ判断として読めば、どちらも少なくとも内部的には一貫している——バグバウンティはコード内の再現可能な欠陥に報奨を与えるために作られており、これはオンデマンドに再現できず、コードの欠陥でもない。毒されたページは他人のウェブサイト上にある。このやり取りが示しているのはギャップだ。害は犠牲者を生むほど現実であり、行動は再現テストに失敗するほど変動的であるため、「セキュリティ脆弱性」と「コンテンツ問題」の間の、開示チャネルが待ち受けていない空間に落ち着く。

OpenAIもGoogleも、Kronusの9月28日の分析時点で、374社という数字を公に確認も反論もしておらず、ここで検討したどの報道にも両社からの声明は見当たらない。

その後、何が変わりましたか？

対応としてプラットフォームの変更は発表されていない。このキャンペーンは9月23日の公開時点では進行中と説明されており、サイモン自身の評価では、その会計処理は未完了だ。「これらの詐欺の真の影響は今起きていると考えており、まだその全影響を完全に理解したり測定したりすることはできていません」

その代わりに存在するのは助言だ。Dark Reading の報道によれば、サイモンの提言は三つの方向に及ぶ。ユーザー向けには、アシスタントが伝える内容を無謬のものとして扱うのではなく、検証すること。ブランド向けには、詐欺に関する顧客の苦情を真剣に受け止め、顧客が実際に受け取る AI の回答と、その回答が引用する情報源を監視し、誤った番号が高くつくカテゴリー——サポート、アカウント復旧、返金、支払い、ソフトウェアダウンロード——を優先すること。エージェントを運用する組織向けには、実行時に監視し、モデルのコンテキストに入るあらゆる情報源とコンテンツを検証し、電話番号、リンク、ソフトウェアパッケージ、コマンドラインといった重要な詳細を、それらに基づいて行動する前に確認すること。彼が提案する比較のステップは、意図的に手作業によるものだ。「返された電話番号、メールアドレス、URL を検証済みの企業記録と照合し、その後、見慣れない詳細や、無関係な複数のウェブサイトにまたがって繰り返し現れる指標を調査する。」

IANSは同じ助言を自社のファカルティレビューにかけ、{{1}}Josh More{{/1}}はこのキャンペーンを連続する系譜に位置づけ——「検索エンジンでは何年も前から見てきたことだ」——、{{2}}George Gerchow{{/2}}はその仕組みを残す価値のある一文に凝縮した。「誰もモデルに侵入していない。信頼する情報源に種を仕込み、それを語らせたのだ。チャットボットはハッキングされたのではない。餌を食わされたのだ。」IANSのファカルティによる推奨事項は、検証に関する助言にブランド監視とエージェントの自律性への制限を加えているが、そのいずれも修正策にはなっていない。

その記録を保存する価値がある理由

検索結果ポイズニングは目新しいものではない。この記録が描いているのは、検索結果がユーザーの目にするものではなくなった時点だ。従来型では、被害者はあるページにたどり着き、そのページ自体が証拠になる——綴りはひどく、ホスティングも不自然で、銀行でないことは一目でわかる。ここでは、ページは決してレンダリングされない。モデルがそれを読み、同意し、ブランド名で始まり攻撃者の番号で終わる一文を書く。引用はそこにあるかもしれないが、引用が通常裏付ける判断は、疲れることも疑うこともない何かによってすでに下されている。

だからこそ、その記録の信頼度グレードは事務的な飾りではなく、実際に意味を持つ。仕組み自体に重大な疑いはない。検索拡張システムがどのように構築されるかということであり、それについて書いた業界アナリストたちも一目でもっともだと扱った。疑わしいのは規模であり、誰かがコーパスかクエリログを公開するまで疑いは続くだろう。一社の測定値が、同じ投稿をすべて引用する媒体によって広められたということは、その出来事を記録する理由であり、その数字が二度数えられたかのように繰り返すべきでない理由でもある。

アーカイブ自体の位置づけでは、AIの関与が確認され、実際の被害が記録され、異議も付されていない高重大度の事案とされている。しかしこの項目が本当に記録しているのは、信頼の移転だ。ブランドの評判が原材料であり、アシスタントの流暢さが配送手段であり、それを食い止めるはずだった検証の工程こそ、91%のユーザーが省いているとされる工程なのである。