投稿者 global-ai-media 
2025年12月、オープンソースのデスクトップAIエージェント「DeepChat」において、深刻なリモートコード実行（RCE）の脆弱性が報告されました。この事例は、AIモデル自体の安全性だけでなく、AIが生成したコンテンツを表示する「アプリケーション層」に潜むリスクを浮き彫りにしています。日本企業が自社用AIアプリを開発・導入する際に直視すべき、UIレンダリングとセキュリティ設計の盲点について解説します。
DeepChatの脆弱性が示す「描画」のリスク
生成AIの活用が進む中、チャットボットやAIエージェントは単なるテキストのやり取りを超え、図表の作成やフローチャートの描画など、視覚的な表現力を高めています。しかし、その利便性の裏で新たなセキュリティホールが顕在化しています。
今回「DeepChat」で発覚した脆弱性は、フローチャート等を記述するための記法である「Mermaid」のレンダリング処理と、デスクトップアプリ構築フレームワークである「Electron」のプロセス間通信（IPC）の不備を突いたものです。具体的には、攻撃者が細工したプロンプトをAIに処理させることで、AIが生成する回答の中に悪意あるスクリプトを埋め込み（クロスサイトスクリプティング：XSS）、それがユーザーの画面で図表として描画される瞬間に、PC内の任意のプログラムを実行（リモートコード実行：RCE）させてしまうというものです。
生成AIとMarkdownレンダリングの落とし穴
多くの企業内AIチャットツールは、LLM（大規模言語モデル）からの回答を読みやすく整形するためにMarkdown形式を採用しており、その拡張としてMermaid記法による作図機能を実装しています。ここに「信頼できない入力」の問題が生じます。
従来、セキュリティ対策は「ユーザーからAIへの入力（プロンプトインジェクション等）」に焦点が当てられがちでした。しかし今回の事例は、「AIからの出力」自体が攻撃ベクトルになり得ることを示しています。もし外部のWebサイトを要約させる機能や、RAG（検索拡張生成）で社外ドキュメントを参照させる機能がある場合、攻撃者は間接的にAIの回答を操作し、表示側の脆弱性を突くスクリプトを出力させることが可能です。
日本国内でも、業務効率化のために自社専用のChatGPTラッパーや、社内データを検索するAIアプリを内製する動きが活発ですが、表示ライブラリのセキュリティ設定やサニタイズ（無害化）処理がおろそかになっているケースが散見されます。
デスクトップアプリ化（Electron）によるリスク増大
特に注意が必要なのは、Webブラウザ上で動作するアプリではなく、Electron等を用いてデスクトップアプリとして配布している場合です。DeepChatの事例でも、Web技術とOS機能をつなぐIPC（Inter-Process Communication）の設定不備が、単なるブラウザ内でのスクリプト実行（XSS）を、OS全体の支配（RCE）へと昇格させてしまいました。
日本の製造業や金融機関などでは、セキュリティ上の理由からブラウザ利用を制限し、専用のインストール型アプリとしてAIツールを配布するケースがあります。しかし、これは「サンドボックス（隔離環境）」の強度を下げる諸刃の剣でもあります。便利な機能（ファイルシステムへのアクセス、クリップボード操作など）をAIアプリに持たせれば持たせるほど、ひとたび脆弱性を突かれた際の影響範囲は甚大になります。
日本企業のAI活用への示唆
今回の事例を踏まえ、日本企業がAIプロダクトを開発・選定する際に考慮すべきポイントは以下の通りです。
- 出力の「信頼性」を過信しない：「AIが生成したものは安全」という前提を捨ててください。AIからの出力は、外部からの汚染された入力と同様に、厳格なサニタイズ処理を経てからレンダリングする必要があります。
- OSSコンポーネントの依存管理と更新：DeepChatのようなOSSを利用する場合、または自社開発でMermaidなどのライブラリを組み込む場合、それらに既知の脆弱性がないか常に監視する体制（SBOMの管理など）が必要です。
- デスクトップアプリの特権管理：社内ツールとして配布する場合でも、Electron等の設定（nodeIntegrationの無効化、Context Isolationの有効化など）をセキュアに保ち、AIアプリに必要以上のOS権限を与えない「最小権限の原則」を徹底すべきです。
- 「機能性」と「堅牢性」のバランス：現場からは「リッチな図表表示が欲しい」「ファイルを直接保存させたい」という要望が上がりますが、その機能が新たな攻撃経路にならないか、セキュリティ部門を交えたリスクアセスメントが不可欠です。
AIの民主化が進む今こそ、モデルの精度だけでなく、「それを動かすソフトウェアとしての堅牢性」に立ち返る必要があります。