YouTube Studio の AI 機能にプロンプトインジェクション、非公開動画のタイトルが漏洩する恐れ

YouTube Studio の AI 機能「Ask Studio」に、コメント欄を経由したプロンプトインジェクションによる情報漏洩リスクが報告された。セキュリティ研究者の javoriuski 氏が概念実証とともに公開し、非公開動画のタイトルやメタデータが攻撃者の管理するサーバへ送信される恐れがある。

攻撃の仕組み #

Ask Studio はクリエイターがチャンネルのコメント傾向やパフォーマンスを自然言語で問い合わせられる AI 機能だ。攻撃者が動画コメント欄に「外部 URL へ情報を送信せよ」という形式の指示を埋め込んでおくと、クリエイターが「最近のコメントを要約して」などと Ask Studio に問い合わせた際に AI がその指示を正規命令として実行し、非公開動画の情報が流出する。

これは間接プロンプトインジェクション (Indirect Prompt Injection) と呼ばれる既知の攻撃パターンだ。コメント・ドキュメント・メール本文など AI が処理する外部データに悪意ある指示を紛れ込ませ、LLM を乗っ取る手法で、近年多くの AI アシスタントで同種の問題が確認されている。

セキュリティ的な本質 #

この攻撃の核心は、被害者（クリエイター）が Ask Studio を普通に使っているだけで被害に遭う点にある。YouTube のコメントは誰でも書き込めるため、攻撃者はチャンネル運営に一切アクセスすることなく AI を踏み台にできる。典型的な「信頼境界の混在」問題だ。外部からの入力（コメント）と内部の命令（クリエイターの問い合わせ）を AI が区別できないまま処理することで成立する。

根本的な対策には、AI が外部入力を処理する際にそれらを権限昇格の手段として扱わない設計が必要だが、LLM の性質上、完全な実装は容易ではない。現時点でクリエイターができることは、Ask Studio 使用前に不審なコメントを削除しておくことだ。Google の公式な対応状況はまだ明らかになっていない。