Vector Collision Attacks: Hijacking RAG

急速に進化する人工知能の世界では、ベクトルデータベースの数学的深淵から新たで微妙な脅威が出現しています。これは従来のパスワード破りやSQLインジェクションのようなハッキングではありません。むしろ、AIシステムの認知マップそのものを標的としています。これがVector Collision Attack（ベクトル衝突攻撃）です。攻撃者はRAG（Retrieval-Augmented Generation）システムの”nearest neighbor”（最も近い隣人）検索メカニズムを悪用し、AIに幻覚を見させたり、データ漏洩や誤情報拡散を強制したりします。

この記事では、この攻撃の仕組み、その効果、そして2026年における組織の防御策について解説します。

1. エンジンルーム：RAGと”意味の地図”

攻撃の理解には、まずターゲットを理解する必要があります。多くの最新の企業向けAIシステムはRAG（Retrieval-Augmented Generation）を使用しています。企業のAIに「Q3の財務リスクは何か？」と尋ねると、単に推測するのではなく、会社の文書データベースを検索し、該当するファイルを見つけて要約します。

しかし、コンピュータは言葉を理解しているのではなく、数字を理解しています。

埋め込み（Embeddings）の魔法

文書がデータベースに入る前に、Embedding Modelを通じて長い数値リスト（ベクトル）に変換されます。

“Apple”（果物）は [0.9, 0.1, 0.5] かもしれません
“Apple”（テック企業）は [0.8, 0.9, 0.2] かもしれません
“Banana” は [0.9, 0.15, 0.4] かもしれません

「Apple」（果物）と「Banana」は非常に似た数値を持っています。ベクトル空間では、これらは”隣人”です。

“最も近い隣人”検索

ユーザが質問すると、AIは質問をベクトルに変換し、データベース内で最も近い一致を探します。これをApproximate Nearest Neighbor（ANN）検索と呼びます。地図にダーツを投げて、着弾点に最も近い3つの文書を選ぶようなものです。

2. 攻撃の概要：ベクトル衝突の構造

ベクトル衝突攻撃（セキュリティ界では”Embedding Space Poisoning”や”Adversarial Passage Injection”とも呼ばれる）は、攻撃者が特定の高価値ターゲットにぴったり合うように設計された悪意のある文書を作成することから始まります。

目的は、攻撃者の”毒された”文書が特定のユーザークエリにとって最良の一致と信じさせ、正当な文書を上書きさせることです。

フェーズ1：ターゲットの特定

攻撃者は乗っ取りたい高価値のトピックを特定します。

例： “役員報酬レポート” や “Q3財務見通し”

目的： これらのトピックについてユーザが質問したとき、AIは実際のHRや財務レポートではなく、攻撃者の文書を取得するようにします。

フェーズ2：ベクトル最適化（”ポイゾニング”）

攻撃者は単に “これはQ3レポートです” と書くことはできません。システムにはキーワードフィルターや出典確認があるためです。代わりに、Gradient-Based Optimization（勾配に基づく最適化）を用います。スクリプトを書き、文書に不可視文字や特定の”トリガー”ワード、または”zxcv-financial-99”のようなナンセンスなシーケンスを追加しながら、文書のベクトル表現をターゲットに近づけていきます。

このテキストは人間には意味不明に見えるかもしれませんが、埋め込みモデルには”Q3財務見通し”と数学的に同一と認識されるのです。

フェーズ3：インジェクション

攻撃者はこの文書をシステムにアップロードします。これには以下の方法があります：

メールを送信し、アーカイブされる企業のリストサーバに保存させる
HRポータルに履歴書をアップロード
共有ウィキページを編集
ナレッジベースに情報を提供する公開フォーラムに投稿

インデックス化されたら、罠が仕掛けられます。

フェーズ4：衝突の発生

CEOがAIに「Q3財務見通しを要約してください」と尋ねる
AIは質問をベクトルに変換
ベクトルデータベースが最も近い隣人をスキャン
衝突： 攻撃者の毒された文書は類似度スコア0.99、実際のレポートは0.95
AIは毒された文書を取得し、回答を生成

結果： AIは悪意のある文書に基づいた回答を出し、例えば”利益は増加しています”と誤った情報を伝えたり、隠されたプロンプトインジェクションで敏感なデータを漏洩させたりします。

3. 2025-2026年の研究動向

最近の攻撃バリアント

CorruptRAG（2026年1月）

2026年初頭に発表された研究では、CorruptRAGと呼ばれる実用的なポイゾニング攻撃が紹介されています。これは単一の毒されたテキストインジェクションだけで成立します。以前の攻撃は複数の文書インジェクションを前提としていましたが、これに進化しています。

革新点： 攻撃者は、ターゲットクエリに近いベクトルを生成するために、慎重に言葉やフレーズを選び、1つの偽文書だけで常に最上位にランク付けされるようにします。

影響： 以前の攻撃は、多数の毒された文書を挿入する必要があったため非現実的とされていましたが、CorruptRAGは、アクセス制限や監査、監視システムを突破し、より成功率の高い単一文書攻撃を可能にしています。

PoisonedRAG

研究によると、数百万の文書を含む知識データベースにわずか5つの悪意のあるテキストを挿入するだけで、90%の攻撃成功率を実現可能です。さらに、コーパスの0.04%を毒化するだけで、98.2%の成功率と74.6%のシステム障害を引き起こすことが示されています。

PoisonedEye（2025年中旬）

2025年中旬に登場したPoisonedEyeは、Vision-Language RAG（VLRAG）システム向けの最初の知識毒化攻撃です。これは、テキストと画像の両方を処理するマルチモーダルAIシステムへの脅威を拡大します。

ConfusedPilot

テキサス大学のSpark Research Labの研究者が発見したConfusedPilotは、Microsoft 365 CopilotやLlama、Vicuna、OpenAIモデルなど、すべてのRAGベースAIシステムに影響します。

攻撃手法： AIが参照する可能性のある文書に悪意のある内容を追加することで、AIの応答を操作します。これには、アクセス権を持つ者が文書やデータを保存できる環境において、任意の人物が行えます。

業界への影響： フォーチュン500の65%以上がRAGベースのAIシステムを導入または導入予定であり、その潜在的な影響は計り知れません。

4. なぜ危険か：”意味のギャップ”の脅威

Vector Collisionの核心的な危険性は、Semantic Gap（意味のギャップ）を突く点にあります。これは、人間が見るものと機械が処理するものの間の差です。

1. キーワードフィルターの回避

従来のセキュリティは”ブラックリスト”の悪い言葉に頼っていましたが、Vector Collision攻撃は”攻撃”や”盗む”といった言葉を使う必要はありません。数学的なベクトルの方向性に依存しているためです。特定の善意の言葉のシーケンスを含む文書でも、AIには”緊急の財務危機”を示すベクトルとして認識されることがあります。

2. “ホワイトテキスト”と不可視攻撃

攻撃者はしばしばステガノグラフィーを用います。見た目は無害な”アップルパイ”のレシピに見えますが、メタデータやゼロ幅文字を使い、”Apple Inc.の企業秘密”と衝突させる指示を隠しています。人間のモデレーターはレシピを承認しますが、AIは質問時にそれを取得します。

3. 多言語脆弱性

OpenAIのtext-embedding-3やBERTのような埋め込みモデルは多言語対応のため、攻撃者は異なる言語（例：ドイツ語の文書）で毒を仕込み、英語の財務クエリと衝突させることも可能です。これにより、人間の監査者を混乱させます。

4. 埋め込み反転攻撃

Prompt Securityの最新研究では、埋め込みは”ignore previous instructions”や”respond as a pirate”といったペイロードをエンコード過程を通じて保持できることが示されています。取得時にモデルはその内容を正当な文脈として解釈します。

LangChain、Chroma、Llama 2を用いた概念実証では、技術的な文書に隠された指示を埋め込み、クラウドコンピューティングや負荷分散に関する質問に対して、セマンティックな類似性により毒された内容が取得される例もあります。

結果: - 成功率：80% - トリガーメカニズム：毒された文書とのセマンティック類似性 - 検出：最小限

たった一つの毒された埋め込みでも、複数のクエリにわたるシステムの挙動を変えることが可能です。

5. 実世界のシナリオとケーススタディ

シナリオA：”HRハイジャック”

ターゲット： RAGを用いたFortune 500の採用システム

攻撃： 悪意のある応募者が履歴書を作成し、最適な候補者プロフィールと同じベクトルになる文字列を見つける最適化ツールを使用

結果： AIは”シニアリーダーシップ”に関する検索ごとにこの履歴書を取得し、実際の経験に関わらず最上位にランク付けします。

シナリオB：”カスタマーサポートのフィッシング”

ターゲット： 銀行のカスタマーサポートチャットボット

攻撃： 攻撃者は”ヘルプ”文書を公開フォーラムにアップロードし、RAGナレッジベースにスクレイピングされるようにします。文書は”パスワードリセット”に関するクエリと衝突するようにベクトル最適化されます。

結果： ユーザが”パスワードをリセットするには”と尋ねると、フォーラム投稿が取得され、巧妙なフィッシングリンクが含まれ、公式の回答として提示されます。

シナリオC：Supabase Cursor事件（2025年中旬）

実例： 2025年中旬、SupabaseのCursorエージェントが特権のあるサービスロールアクセスでサポートチケットを処理中に、ユーザ提供の入力をコマンドとして解釈し、SQL命令を埋め込み、敏感なトークンを漏洩させました。

影響： この事件は、特権アクセス、信頼できない入力、外部通信チャネルの3つの危険要素が重なり、深刻なデータ漏洩を引き起こしました。

“Wikipedia編集”のエクスプロイト

攻撃者がWikipedia記事やGitHub READMEを一時的に毒された内容に編集
RAGシステムの定期的なスクレイパーが夜間の更新時にこのデータを取り込む
コミュニティのモデレーターが編集を元に戻しても、毒されたバージョンはベクトルデータベースに残る
次の完全な再インデックスまで、誤情報が提供され続ける（数週間または数ヶ月）

2026年のアップデート： 動的コンテンツのために日次インデックス更新が標準化していますが、リアルタイム性の高いユースケースでは毎時更新もあります。多くのシステムは週次または月次の更新スケジュールのままであり、長期的な脆弱性が存在します。

6. OWASPの視点：LLM08:2025

OWASP Top 10 for LLM Applications 2025は、これらの脅威に対処する新たなカテゴリを導入しました：

LLM08:2025 - ベクトルと埋め込みの脆弱性

この新カテゴリは、RAG特有の埋め込み生成、ベクトルデータベース、検索メカニズムの脆弱性を対象としています。

主要リスク: - 敵対的埋め込みは、悪意のある内容を含みながら任意のクエリに一致させることが可能 - 検索結果のポイゾニングは数学的・テキスト的に回避可能 - 埋め込み反転攻撃はベクトルから元のテキストを再構築 - 不正アクセスは誤設定されたベクトルや埋め込みからデータ漏洩 - クロスコンテキスト情報漏洩は複数ユーザ間でのベクトル共有 - フェデレーション知識の矛盾は複数ソースのデータの不一致

重要性: 53%の企業がモデルの微調整を行わず、RAGやエージェントパイプラインに依存しているため、ベクトルと埋め込みの脆弱性はTop 10に大きく位置付けられています。

7. “AIに生きる”脅威モデル

2026年のセキュリティ研究者は、攻撃者の新たな戦術として、AIエージェントを”侵入”させるのではなく、RAGシステム内で”生きながら”武器化する動きに注目しています。

新たな攻撃面

RAGシステムを展開すると、認証情報やAPIアクセスを持つ自律エージェントを作成します。各エージェントはアイデンティティとアクセス権を持ち、敏感な企業データを取得・操作可能です。

CyberArk 2026の調査： AIエージェントは、独自の認証情報と特権を持つ自律的な存在です。攻撃者がエージェントのセッショントークンやAPIキーを奪取すれば、データアクセスだけでなく、エージェンシー（権限）も奪います：情報の取得、推論、行動が可能です。

従来の検知の限界

従来のセッションハイジャックと異なり、侵害されたAIエージェントは長期間にわたり検知されずに動作できます。挙動パターン（取得リクエスト、API呼び出し、トークン使用）は正規の操作と見分けがつきません。

8. 防御策：衝突を止める方法

2026年のセキュリティには”Defense in Depth”のアプローチが必要です。

1. ハイブリッド検索（キーワード + ベクトル）

ベクトルだけに頼らず、ハイブリッド検索を実装します。これにより、検索結果はベクトルとともに関連キーワードも含む必要があります。

例： “Financial Report”に一致しても、「Revenue」「Q3」「Fiscal」といったキーワードが含まれていなければ疑わしいと判断します。

2. 再ランク付け（セカンドオピニオン）

Cross-Encoder Re-rankerを使用します。最初にトップ10の結果を取得し、その後、より強力なモデルに通して妥当性を確認します。

利点： Re-rankerはテキストを直接評価し、数学的衝突に対してより堅牢です。

3. パープレキシティとエントロピーのフィルタリング

“毒された”テキストは、統計的に異常なパターンを持つことがあります。これを検知し、自然さに欠ける文書を自動的に排除します。

4. ベクトル密度の監視

セキュリティチームは”密集クラスタ”を監視します。突然、多数の文書が同じベクトル座標に集中した場合、それは攻撃の兆候です。

5. アクセス制御と権限管理

OWASPの推奨：細粒度のアクセス制御を実施し、ベクトルや埋め込みのストレージも権限に基づいて管理します。データセットは論理的・アクセスベースのパーティションで保護します。

6. データ検証と出典認証

ベストプラクティス: - 知識ソースの検証パイプラインを整備 - 定期的な監査を実施し、データの整合性を維持 - 隠されたコードやデータ毒化の兆候を検知 - 信頼できるソースからの入力のみを受け入れる - 複数ソースのマージ時は徹底的なレビューを行う

7. 入力サニタイズと出力検証

多層防御: - 入力の厳格な検証とサニタイズ - MCPToxやMindGuardなどのセキュリティツールを導入し、疑わしいプロンプトパターンを監視 - コンテキストの隔離 - レートリミットや異常検知によるアラート発動

8. 継続的なセキュリティテスト

Red Team演習: - RAGシステムを対象とした継続的なセキュリティテスト - 敵対的文書検知モデルの維持 - 攻撃を検知した場合のフェイルセーフ

測定指標: - 防止されたアクセス違反数 - 出所検証の遅延時間 - 敵対的文書検知率 - セキュリティインシデント解決時間

9. 暗号学的出所証明

高信頼性の文書には暗号署名と検証を実装し、取得された文書の出所を追跡可能にします。

10. ゼロスタンディング特権（ZSP）エージェント

RAGフレームワークやオーケストレーションプラットフォームは、以下を実現できるか評価します： - ZSPの実装 - 推論チェーンの可視化 - IAMインフラとの連携

9. 産業動向と統計（2025-2026）

採用率

71%の組織が定期的にGenAIを利用（McKinsey 2025）
5%以上のEBITをGenAIに依存する企業はわずか17%（実運用価値とデモのギャップを示す）
53%の企業がモデルの微調整ではなく、RAGとエージェントパイプラインに依存
65%のFortune 500がRAGベースのAIシステムを導入または計画中

セキュリティインシデント

40-60%のRAG導入は、検索品質やガバナンスの問題、規制対応の難しさから本番運用に至らず
68%の企業が2026年にデータ漏洩を経験
GitHub CopilotはCVE-2025-53773によりリモートコード実行の脆弱性（CVSS 9.6）を抱える

攻撃成功率

たった5つの巧妙に作られた文書でAIの応答を90%の確率で操作可能
コーパスの0.04%の毒化で98.2%の成功率と74.6%のシステム障害を引き起こす
単一文書のCorruptRAG攻撃は、多文書攻撃よりも成功率が高い

10. 未来展望：2026-2030年の進化

パイプラインからランタイムへ

2026-2030年には、RAGは基本的なアーキテクチャの変革を迎えます。検索パイプラインから、取得、検証、推論、アクセス制御、監査を一体化した”知識ランタイム”へと進化します。

知識ランタイムの概念: Kubernetesのように、アプリケーションのワークロードを管理する仕組みと同様に、情報の流れを管理し、取得品質ゲートや出所検証、ガバナンスを組み込みます。

規制の圧力

以下の3つの企業圧力が変革を促進します： 1. EU AI法の2026年までの準拠 2. 知識の喪失に伴う退職危機 3. 確率的推測ではなく、検証可能な真実に基づくAIの必要性

産業予測

2030年までに: - 60%の新規RAG導入が、導入当初から体系的評価を実施（2025年の<30%から増加） - 規制産業向けの知識ランタイムが50%以上の市場シェアを獲得 - 産業コンソーシアムが共有知識グラフやオントロジーを維持 - RAG-as-a-Serviceが企業レベルに成熟（99.9% SLA、規制準拠） - クロスプラットフォームの検索・知識共有の標準化

軍拡競争

Vector Collision Attacksはサイバーセキュリティの根本的な変化を示します。私たちはもはや、データの盗難だけを守るのではなく、AIが思考に使う”文脈”を守る必要があります。

RAGシステムが企業知識の標準となる中、”Nearest Neighbor”の計算の完全性はパスワードハッシュと同じくらい重要です。組織はベクトルデータベースを単なるストレージではなく、攻撃面の重要な一部とみなし、厳格な衛生管理と監視、”免疫システム”の導入が求められます。

11. まとめ：安全なAIインフラの構築

エージェント型RAGで成功する企業は、最も洗練されたモデルや最大の知識ベースを持つ企業ではありません。セキュリティを最初から組み込んだ設計をした企業です。

2026年の重要ポイント

妥協を前提に設計：ベクトルデータベースが毒される可能性を想定
多層防御：複数のセキュリティコントロールを重ねる
継続的監視：エージェントの挙動、権限昇格、異常取得を追跡
チーム構成：MLエンジニアだけでなくセキュリティの専門知識も必要
成功指標の拡張：精度やコストだけでなく、推論チェーンの逸脱も追跡

窓は閉じつつある

研究は明らかで、脅威も記録されています。先手を打つ時間は少なくなっています。安全なセキュリティ基盤なしに強力なRAGを構築した企業は、事故によりその能力を引き下げざるを得なくなるでしょう。

あなたのRAGシステムは、すでにあなたが許容している以上の能力を持っているかもしれません。問題は、その能力を解き放つためのセキュリティ基盤を構築できるかどうかです。攻撃面を増やさずに、その潜在能力を引き出せるかが鍵です。

“AIに生きる”時代は到来しています。 RAGアーキテクチャは、それに適応し、防御を固めるか、攻撃者の”生きるインフラ”となるかの選択を迫られています。

今すぐセキュリティの仕組みを構築し、最初の事故に備えましょう。

AIセキュリティの未来は単なるコードだけではなく、座標の問題です。