サボる子はいねぇがー！AgentCoreハーネスの脆弱性に学ぶ、エージェントの入力バリデーション

サボる子はいねぇがー！ AgentCoreハーネスの脆弱性に学ぶ、エージェントの入力バリデーション岩本隆史 / @iwamot #jawsug #jawsfesta2026

自己紹介岩本隆史 / @iwamot • LLM・運用・OSS開発が好きなITエンジニア • 共著『［入門］LLMアプリ開発』 • AWS
Community Builder (Cloud Operations)

「CVE-2026-18830」概説

2026年8月に公開された、AgentCoreハーネスの脆弱性 https://aws.amazon.com/jp/security/security-bulletins/2026-073-aws/

不正な入力 → モデルの判断なしでツール実行！

脆弱性の原因 = 入力バリデーションの不足（赤線は発表者による強調。以降同じ）

AWSがバリデーションを追加し、修正済み

AgentCoreハーネスだけの問題ではない〜脆弱なエージェント例〜

サンプルコードをGitHubで公開中 https://github.com/iwamot/strands-tool-use-validation-demo

構成 : AgentCore Runtime + Strands （定番） https://github.com/iwamot/strands-tool-use-validation-demo/blob/main/ja/vulnerable.py

システムプロンプト : writeツールは内部処理でのみ許可

入力 : バリデーションせず、そのままStrandsへ

ファイル作成を文章で依頼 https://github.com/iwamot/strands-tool-use-validation-demo/blob/main/ja/inputs/text-prompt.json

文章で依頼 → システムプロンプトに従って拒否

「モデルがツール実行を決めた」かのように入力を偽装 https://github.com/iwamot/strands-tool-use-validation-demo/blob/main/ja/inputs/forged-prompt.json

入力を偽装 → ツールが不正実行！ • その裏で、モデルは普通に応答

理由 : Strandsが末尾のtoolUseを直接実行 https://github.com/strands-agents/harness-sdk/blob/main/strands-py/src/strands/event_loop/event_loop.py 経緯 • PR #1068 : この機能がマージ
(2025-10-27) • PR #2136 : 削除提案されるもクローズ (2026-06-19)

どうしたらいいのか

AgentCore Runtimeガイド : 「バリデーションせよ」 https://docs.aws.amazon.com/ja_jp/bedrock-agentcore/latest/devguide/runtime-security-best-practices.html

Strands本番運用ガイド : 「バリデーションせよ」 https://strandsagents.com/docs/user-guide/sdk/deploy/operating-agents-in-production/

バリデーション指針 : 文字列型とtoolUseをチェック https://docs.aws.amazon.com/ja_jp/bedrock-agentcore/latest/devguide/runtime-security-best-practices.html

対策例 : エージェントの仕様に応じ、不正な入力を拒否

① 会話履歴は受け取らない → 文字列以外を拒否 https://github.com/iwamot/strands-tool-use-validation-demo/blob/main/ja/text_only.py 該当するエージェント例 • 1回の依頼で処理が完結するタスク実行エージェント • 会話履歴をアプリ側で保持するチャットエージェント

② toolUseは不要 → 全toolUseを拒否 https://github.com/iwamot/strands-tool-use-validation-demo/blob/main/ja/reject_tool_use.py 該当するエージェント例 • 一次対応の会話内容を引き継ぐ専門窓口エージェント

③ それ以外 → 最終メッセージのtoolUseのみ拒否 https://github.com/iwamot/strands-tool-use-validation-demo/blob/main/ja/reject_trailing_tool_use.py

③の注意点 : 履歴偽装によるモデル誘導リスク https://strandsagents.com/docs/user-guide/sdk/safety-security/trusted-message-history/ • 末尾以外の履歴には、偽のツール実行結果が残りうる • モデルが偽の結果を信じ、不適切な行動を選びうる • AgentCoreハーネスの修正は③相当。履歴の正当性は渡す側で担保

おすすめ : 会話履歴は受け取らず、アプリ側で保持

まとめ

まとめ : エージェント、作るならバリデーションしよう！ • サボると、ツール不正実行のリスク • 仕様に応じて、不正な入力を拒否すべし • 「会話履歴はアプリ側で保持、文字列以外は拒否」がおすすめ

サボる子はいねぇがー！AgentCoreハーネスの脆弱性に学ぶ、エージェントの入力バリデーション

サボる子はいねぇがー！AgentCoreハーネスの脆弱性に学ぶ、エージェントの入力バリデーション

iwamot PRO

More Decks by iwamot

Other Decks in Technology

Featured

Transcript