HACH開発者、表示名でなくuser.idで検証を

記事が区別しているのは二つの異なる信頼問題だ。すでに広く議論されているプロンプトインジェクションは、エージェントが読み込む外部コンテンツに紛れた偽の指示に関するもの。記事が狙うのはその一段手前、チャット上で直接発言している人物が本当に名乗っている本人かどうかという問題である。チャットプラットフォームのAPIは通常、表示名とユーザーID（またはアカウントID）の両方を送るが、急いで実装するとログや権限チェックに表示名だけを使うことがあり、これがインシデントの出発点になるという。

記事の論拠はいくつかの具体的なシナリオに支えられている。表示名はユーザーが編集できることが多く、悪意ある第三者や乗っ取られたゲストアカウントが役員の名前とアイコンを模倣できる。外部ゲストやパートナーワークスペースのメンバーが社内メンバーと同じ名前で参加し、社内外の区別が難しくなることもある。さらに退職や異動後にアカウントが再利用・引き継がれると、名前ベースで過去の会話ログと結びつけても持ち主が変わったことを見抜けない。

提案される対策は多層的だ。権限判断にはSlackのuser.idやTeamsのaad_object_idなど不変の識別子のみを使い、表示名は人間向けの表示専用にする。参加者がゲストか外部メンバーかをエージェントが判別できるプラットフォームもあり、外部からの要求は重要度に応じて保留したりエスカレーションしたりできる。そしてこうしたシグナルだけでは誤検知が多いと記事も認めているため、即座に遮断するのではなく実行前に重めの確認ステップを挟むことを勧めている。設計が最終的にかかっているのは、取り消し困難な操作に対してチームがどの程度の手間を受け入れ、誰のために払うかだ。見積もり承認やレポート抑制を行うエージェントを日々運用するチームこそが、そのトレードオフを実感することになる。