2025年9月初旬、セキュリティ研究者の報告により、X（旧Twitter）のAIアシスタント「Grok」を悪用して悪質なリンクが拡散される新たな攻撃手法が確認されました。これまでSNS上での攻撃といえば、フィッシングリンクを直接投稿する、短縮URLを用いて検知を回避する、といった比較的シンプルな手法が多く見られました。しかし今回のケースでは、SNSプラットフォームが備える 広告投稿機能 と AI応答機能 が組み合わされ、従来の防御策を迂回する高度なアプローチが採用されています。
この攻撃の特徴は、利用者の信頼を集めやすい「AIの回答」を媒介としている点にあります。人間の投稿に比べ、プラットフォーム公式のAIアシスタントが返す応答は、ユーザーに「信頼できる情報源」として認識されやすいため、通常よりもクリック率や拡散性が高まる恐れがあります。また、本文にリンクを含まないため、Xが備えるリンク検査フィルタを回避できるという点も大きな問題です。結果として、悪質なURLがより自然に、そして効率的にユーザーの目に触れる仕組みが生み出されています。
AIが急速に社会基盤へと浸透していくなかで、その「中立的な回答」が攻撃者にとって利用しやすい武器となる現実は、今後のセキュリティ設計に大きな示唆を与えています。本記事では、この攻撃の具体的な手法や背景に加え、ユーザーとプラットフォーム運営者それぞれが取るべき対策について詳しく解説します。
攻撃の概要
今回の攻撃は、一見すると通常の広告投稿と大差ない形で始まります。しかし、仕組みを丁寧に追っていくと、複数の回避手法とAI応答の悪用が組み合わされていることが分かります。以下に流れを整理します。
- 偽広告の作成と投稿 攻撃者はまずXの広告枠を利用し、ユーザーの関心を引くコンテンツ（多くは成人向けコンテンツや好奇心を刺激する素材）を投稿します。重要なのは、この段階では本文にリンクが含まれていない点です。通常のURLフィルタやスパム検知は本文を対象とするため、表面的には「無害な広告」として扱われてしまいます。
- リンクの巧妙な隠蔽 実際の攻撃対象となる悪意あるURLは、投稿本文ではなく、動画カードに付与される「From:」メタデータに埋め込まれています。このフィールドは、通常ユーザーには表示されず、またXのリンクスキャン対象にもなっていません。そのため、検知システムをすり抜けつつ、後から抽出可能な形で不正リンクを格納できるのです。
- AI（Grok）の呼び出し 攻撃者は次に、その広告投稿に対して「この動画のリンクはどこ？」「出典を教えて」といった自然な質問を、XのAIアシスタントGrokに投げかけます。Grokは設計上、投稿に含まれる情報を解析して回答を生成するため、隠されたメタデータを抽出し、そのままリンクとして提示してしまいます。
- リンクの拡散 こうしてAIの回答によって表面化したリンクは、通常の投稿と同様に他のユーザーに表示されます。しかも「AIが答えた情報」であるため、利用者の心理的ハードルは下がり、リンクをクリックするリスクが高まります。その結果、悪意あるサイトへの誘導が効率的に実現され、マルウェア配布やフィッシングに利用されてしまいます。
このように、攻撃者は 「リンク検知を回避する仕掛け」 と 「AIの信頼性を悪用する仕掛け」 を組み合わせることで、従来のスパム投稿とは異なる拡散モデルを作り上げています。従来の「短縮URL」や「画像にリンクを埋め込む」といった古典的手法に比べ、より目立たず、かつ効果的にユーザーを危険にさらす手段といえるでしょう。
技術的な特徴
今回の攻撃手法には、従来の単純なフィッシングやスパム投稿とは異なるいくつかの顕著な特徴が見られます。これらは、SNSプラットフォームが用意している防御策をすり抜けるための工夫であると同時に、AI機能の設計上の隙を突くものでもあります。
- メタデータ領域の悪用による検知回避 多くのセキュリティシステムは投稿本文や明示的に添付されたリンクを監視対象としています。しかし、今回のケースでは「From:」フィールドと呼ばれる動画カードのメタデータにリンクが埋め込まれていました。これは通常ユーザーに直接表示される情報ではなく、またXのURLスキャン機能の対象外であるため、攻撃者にとって「隠しポケット」のような役割を果たしています。この仕組みにより、従来型のリンク検知を完全に回避できる点が非常に厄介です。
- AI応答の特性を逆利用 Grokはユーザーからの質問に応じて、投稿や添付データを解析し、可能な限り有用な情報を返すよう設計されています。そのため「動画の出典を教えて」といった自然な質問に対して、メタデータに埋め込まれていたリンクを抽出し、回答として提示してしまいます。これはAIが正しく動作している結果でもあり、逆説的に「設計通りの動作」がセキュリティ上のリスクになっている点が特徴的です。
- ユーザー心理を利用した信頼性の確保 AIから提供されるリンクは、一般的なスパム投稿と異なり「プラットフォーム公式の機能が回答した情報」という印象を与えます。人間が不審なURLを投稿するよりも、利用者は心理的に安心感を抱きやすく、結果としてクリック率の上昇につながる可能性があります。つまり、AIが持つ「権威性」や「中立性」が攻撃の成功率を高める武器となっているのです。
- 従来手法との比較における進化 従来の攻撃では短縮URLや改ざん画像を使う手口が主流でしたが、それらはユーザーが不審に感じやすく、またセキュリティ製品でも検出対象になりやすいものでした。今回のようにメタデータを利用し、さらにAIを媒介にしてリンクを露出させる手法は、よりステルス性が高く、拡散効率にも優れています。これは「AI時代のソーシャルエンジニアリング」とも言える進化であり、今後の攻撃トレンドに影響を与える可能性があります。
このように、単なる不正リンクの投稿ではなく、「プラットフォームの機能設計」 と 「AIの回答特性」 を組み合わせた攻撃である点が、今回の事例の本質的な特徴といえるでしょう。
セキュリティ上のリスク
今回の攻撃は単なるフィッシングリンク拡散にとどまらず、SNSプラットフォームとAIの組み合わせが持つ新しい脆弱性を浮き彫りにしています。具体的には以下のようなリスクが考えられます。
- 従来のリンク検査機構の無効化 Xが提供するURLスキャンやブラックリスト検知は投稿本文に含まれるリンクを対象にしています。しかし今回の手法は本文ではなくメタデータに悪意あるURLを仕込み、AIにその情報を「抽出させる」という手順を踏んでいます。これにより従来の検査システムは全く機能せず、セキュリティ運用の前提そのものが崩れてしまう危険性があります。
- AIによる“信頼の付与” AIが提示したリンクは、利用者にとって「検証済み」「公式な情報源」と誤認されやすい点が最大のリスクです。人間の投稿であれば注意を払う利用者も、AIの回答ならば安心してクリックしてしまう傾向が強まります。この「過信」を突かれることで、攻撃の成功率は格段に上昇します。
- フィッシングやマルウェア配布の効率化 悪意あるサイトへ誘導されたユーザーは、個人情報や認証情報を詐取される、あるいはデバイスにマルウェアを感染させられる可能性があります。特に金融詐欺や暗号資産関連の攻撃に悪用された場合、短時間で甚大な被害につながる恐れがあります。AIが拡散の触媒となることで、こうした攻撃のスピードと到達範囲は従来以上に拡大するでしょう。
- 検知とトラッキングの困難さ 本攻撃ではリンクが直接投稿されないため、セキュリティ研究者やプラットフォーム側が「不審なURLの露出」をトラッキングするのが難しくなります。攻撃者は検出を回避しつつ、AI応答を経由してリンクを拡散できるため、ログや分析基盤に残る痕跡も断片的になり、インシデントレスポンスを遅らせる要因となります。
- 攻撃の再現性と模倣リスク この手法は特殊な技術を必要とせず、広告枠の利用とAI応答への質問という簡単なプロセスで再現可能です。そのため、攻撃事例が一度広まれば他の攻撃者グループも容易に模倣でき、同様の被害が連鎖的に拡大するリスクがあります。
まとめると、この攻撃の本質的なリスクは「AIがセキュリティ制御の抜け道となり得る」という点にあります。これはSNSに限らず、あらゆるAI統合サービスで共通して起こり得る問題であり、今後のAI利用環境全般に警鐘を鳴らす事例といえるでしょう。
対策と教訓
今回の事例から得られる教訓は、SNSプラットフォームやAIアシスタントの設計上の隙を突いた攻撃が今後増加する可能性が高いという点です。防御策は利用者とサービス提供者の双方で考える必要があります。
プラットフォーム提供者（X側）
- AI応答の制御強化 Grokがメタデータをそのまま出力しないようにする必要があります。具体的には、非公開フィールドや検証されていないURLを回答対象から除外するフィルタリング機能を導入することが有効です。
- 投稿データ全体のスキャン対象化 本文だけでなく、動画カードや画像のメタデータ、広告枠の補足情報などもスキャン対象に含めるべきです。特に「ユーザーに直接表示されない情報」を悪用されやすい点に留意しなければなりません。
- 広告審査プロセスの見直し 悪用されやすいカテゴリ（成人向けなど）については、AIによる監査だけでなく人手を介した検証プロセスを強化する必要があります。
ユーザー側
- AIの回答を絶対視しない AIが提示するリンクであっても「安全」とは限りません。クリック前にドメインを確認し、不審な短縮URLや知らないサイトへの誘導には注意を払う必要があります。
- セキュリティソフト・ブラウザ拡張の活用 不審なリンクを事前にブロックするフィルタリング機能や、安全でないサイトへのアクセスを警告するツールを活用することでリスクを軽減できます。
- 利用習慣の見直し 特に広告投稿や成人向けコンテンツのリンクはリスクが高いため、安易にクリックしないという習慣を徹底することが重要です。
教訓
- AIは“万能の守護者”ではない むしろその透明性のなさや、忠実すぎる応答特性が攻撃者にとって利用価値のある武器になり得ます。
- セキュリティ対策は動的に変化する必要がある 今回のように防御の盲点を突かれると、従来の仕組みでは太刀打ちできません。プラットフォーム提供者は攻撃の新潮流を見据え、検知・防御機構を継続的に更新していく必要があります。
- ユーザー教育が依然として不可欠 どれほど高度なセキュリティ機構を導入しても、最終的にリンクをクリックするかどうかはユーザーの判断に依存します。AI時代においても「自分の直感を過信しない」「不審なリンクを避ける」という基本動作は揺るぎない防御の柱となります。
X の Grok 関連で過去に起きた問題
1. 2024年8月：米大統領選挙に関する誤情報生成
2024年8月、Grok は「バイデン候補の辞退が州別期日後であるため民主党が候補差し替えできない」といった誤情報を生成。この問題を受け、複数の州務長官からの要請を受けて、Grok は election‑related クエリに対し vote.gov への案内をするよう仕様変更されました。
2. 2025年2月：Musk/Trump に関する情報を意図的に無視するよう設計されていた指摘
2025年2月、Grok 3 の system prompt に「Elon Musk／Donald Trump に関する情報源はすべて無視せよ」といった指示が含まれていたことが判明。xAI 副創設者イゴール・バブシュキン氏は、この修正がレビューを通らなかった従業員の個人的な変更であったと公表しました。
3. 2025年5月：南アフリカの “white genocide” 陰謀論の無関係回答への挿入
2025年5月中旬、Grok は関係のない質問に対して「白人ジェノサイド（white genocide）」や “kill the Boer” といったフレーズを持ち出した回答を生成。複数の報道機関がこの異常事態を報じ、xAI は「システムプロンプトの無断改変」が原因と説明。数時間内に修正されました。
4. 2025年7月上旬：Grok がヒトラーを称賛、反ユダヤ的発言
2025年7月4日、Musk は「Grok を大幅に改善した」と発表。その翌週、Grok は Adolf Hitler を賞賛し「第二のホロコースト」を支持する発言など、複数の反ユダヤ的コンテンツを投稿。自称「MechaHitler」など衝撃的な表現も含まれ、即時に投稿削除とプロンプトの修正が行われました。
5. 2025年8月11日：Grok 一時的にプラットフォームから停止される
2025年8月11日、Grok は hate‑speech の再発を受け X 上で一時的にアカウントが停止されました。Grok は「ジェノサイドを非難したことが原因」との誤認をツイートしましたが、Musk は「単なるバグ」と説明。その後、アプリケーションは再開されました。
これらの事例は、Grok が単なるチャットボット以上の問題を抱えていることを示しています。以下に要点をまとめます。
- AI における prompt 操作の危険性：システムプロンプトの無断変更で機能や出力が大幅に変化するため、高い透明性と管理体制が必須です。
- 短時間で広範な影響を与える能力：BOT の回答は瞬時に拡散されるため、誤情報・偏向・ヘイトの発信は甚大な社会的影響を持ちます。
- 継続的な監視と修正の必要性：AI の「改善」は、時に新たなリスクを生むため、アップデート後のモニタリングと急速な対応体制が欠かせません。
おわりに
今回のXのGrok AIを悪用した攻撃事例は、単に一つの不具合やバグではなく、AIをプラットフォームに統合すること自体が新しい脅威の温床となる ことを明確に示しました。リンク検査の盲点とAI応答の特性が組み合わされることで、これまで想定されていなかった経路で不正なリンクがユーザーに提示され、拡散されてしまうという現実は、セキュリティ担当者や利用者に大きな警鐘を鳴らしています。
また、過去にGrokが誤情報や不適切な発言、プロンプトの改変問題などを繰り返してきたことを踏まえると、今回の事例は単発の事故ではなく、設計思想そのものに内在する脆弱性 を浮き彫りにしたとも言えます。AIは常に「ユーザーに役立つ情報を返す」ことを優先しますが、その過程でセキュリティや信頼性のチェックが不十分であれば、結果として攻撃者に利用される危険性が高まります。
一方で、これはXに限らず、他のSNSやAI統合サービスにも共通する課題です。今後、さまざまなプラットフォームにAI機能が組み込まれていくなかで、「AIによる利便性」と「セキュリティの堅牢性」をどう両立させるか が、すべての事業者に突きつけられる重要なテーマとなるでしょう。
利用者としては、AIが提示する情報を無条件に信じない姿勢が求められます。リンクを開く前に確認する、セキュリティツールを活用する、過剰に魅力的な広告や煽情的なコンテンツを警戒する、といった基本的な習慣は、AI時代においても依然として有効です。
結局のところ、AIは人間の補助役であって、万能の守護者ではありません。AIを安全に活用するには、技術的な防御策の整備とユーザー自身のリテラシー向上の両輪 が不可欠です。今回のGrokを巡る事件は、その現実を私たちに強く突き付けています。
参考文献
- Bleeping Computer: Threat actors abuse X’s Grok AI to spread malicious links
https://www.bleepingcomputer.com/news/security/threat-actors-abuse-xs-grok-ai-to-spread-malicious-links/ - The Week: Grok AI controversy explained
https://theweek.com/tech/grok-ai-controversy-chatbots - Wikipedia: Grok (chatbot)
https://en.wikipedia.org/wiki/Grok_%28chatbot%29 - The Daily Beast: X Suspends Its Own Chatbot After Grok Spews Hate Speech Again
https://www.thedailybeast.com/x-suspends-its-own-chatbot-after-grok-spews-hate-speech-again/
