グループチャットアシスタントに対するプロンプトインジェクション対策のセキュアな管理者承認フロー
r/ClaudeAIの投稿「グループチャットアシスタントにおけるプロンプトインジェクション対策：VMとOAuthツール実行を一時停止し管理者承認を求める」は、公開または共有チャンネル（例：Supergreen経由のWhatsAppやグループチャット）に接続されたLLMベースのアシスタント向けの実践的なセキュリティパターンを説明しています。主な問題は、複数のユーザーが同じセッション履歴を共有する場合、参加者がアシスタントにプロンプトインジェクションを仕掛け、危険なツール（クラウドリソースの起動、マッピングされたシークレットを使ったコード実行、OAuthトークンの取得など）を実行させる可能性があることです。
安全な管理者承認フロー
prompt2botで提案されている解決策は、リスクの高いツール実行をインターセプトする安全な管理者承認フローです。
- 管理者以外のユーザーが
create_vm、run_safescript（マッピングされたシークレットを使うカスタムコード実行）、またはOAuthフローをトリガーすると、ツールは実行を一時停止し、「管理者の許可をリクエスト中…」と返します。 - 10分間のTTLを持つ承認リンクが、設定された管理者にWhatsAppまたはメールで自動送信されます。
- 承認されると、バックグラウンドジョブが会話履歴にシステム通知を注入します：
[システム通知：管理者が<toolName>の実行リクエスト（リクエストID：<requestId>）を承認しました] - この思考注入によりエージェントループが起動し、承認された
request_idを使ってツールを再呼び出し、シームレスに続行します。 - ゲストユーザー（メールや電話が設定されていないボット所有者）の場合、承認はバイパスされ、開発者のテストが容易になります。
こんな方におすすめ
共有チャンネルで動作し、信頼できない参加者からのプロンプトインジェクション攻撃に対して強力なツールアクセスを保護する必要がある、高機能なアシスタントを開発する開発者向け。
📖 出典全文： r/ClaudeAI
👀 See Also
Nullgaze: オープンソースAI対応セキュリティスキャナーがリリース
Nullgazeは、AI生成コードに特有の脆弱性を検出する新しいオープンソースのAI支援セキュリティスキャナーで、誤検知がほぼゼロであることを特徴としています。
MCPサーバーCVE公開マッピングとパブリックAPIのリリース
研究者たちは数千のMCPサーバーにわたるCVEエクスポージャーをマッピングし、依存関係の脆弱性をクエリするための公開APIを構築しました。このAPIでは、リポジトリ名やサーバー名での検索、深刻度によるフィルタリング、CVE数や新着順での並べ替えが可能です。
NanoClawのAIエージェント向けセキュリティモデル：コンテナ分離と最小限のコード
NanoClawは、各AIエージェントが独自の一時的なコンテナ内で非特権ユーザーアクセス、分離されたファイルシステム、明示的なマウント許可リストを使用して実行されるセキュリティアーキテクチャを実装しています。コードベースは意図的に最小限に保たれており、約1つのプロセスと少数のファイルのみで構成され、機能を再発明する代わりにAnthropicのAgent SDKに依存しています。
WebAssemblyによるAIエージェントのサンドボックス化：デフォルトでゼロ権限
Cosmonicは、従来のサンドボックス化（seccomp、bubblewrap）は、AIエージェントに対しては環境権限（ambient authority）の問題があると主張しています。WebAssemblyのケイパビリティベースのモデルは、デフォルトで権限をゼロにし、ファイルシステム、ネットワーク、資格情報に対する明示的なインポートを必要とします。