- プロンプトインジェクションとは、AIへの入力に悪意ある指示を紛れ込ませ、開発者が想定していない動作をさせる攻撃手法のことだ。
- 生成AIが社内文書やメール、Webページを読み込むようになった今、攻撃者はAIが読む場所に命令文を置くだけでいい。人を騙すのではなく、素直すぎるAIを騙すのが厄介なところだ。
- この手口を知っていれば、AIが出した答えをそのまま実行に移す前に一拍置けるようになる。逆に知らないまま業務にAIを組み込むと、社内の機密が外に流れる入口を自分で作ってしまう。
この4コマで描かれた郵便物の一件は、間接プロンプトインジェクションと呼ばれる実際に発生しうる情報漏えい事故の縮図です。コマ①の素直な受付ロボは、社内文書を要約したり外部サイトを読み込んだりする業務用AIそのもの。頼めば何でもやってくれる便利さと、渡された文章を疑わない危うさは、同じ性質の裏表になっています。
コマ②の落とし穴は、命令を仕込んだのが利用者ではなく第三者だという点でしょう。社員は普通にメールの要約を頼んだだけなのに、AIは本文に混ざった指示まで拾ってしまいます。経営目線で怖いのは、この構図だと担当者の操作ログに不審な入力が一切残らないことです。原因究明が遅れ、被害範囲の特定に時間を取られます。
コマ③のように金庫ごと運び出される事態を防ぐ鍵は、AIに渡す権限の設計にあります。個人情報が外部に送られれば、個人情報保護法にもとづく報告義務が生じる場面も想定されます。だからこそコマ④の指摘が効いてくるのです。外部から来た文章は資料であって命令ではない、という線引きをシステム側で徹底しておきましょう。
なぜプロンプトインジェクションは完全に防げないのか？
プロンプトインジェクションは、名前こそ古典的なSQLインジェクションになぞらえて付けられたものの、対策の考え方はまったく別物です。命名したのは開発者のSimon Willison氏で、2022年9月12日の記事の中で、SQLインジェクションとの類似性を挙げながらこの呼び名を提案しました。ところが、SQL対策の定番であるエスケープ処理に相当する決定打が、AIの世界にはまだ存在しません。
理由は単純で、AIが受け取る文章には命令とデータを分ける境界線がないからです。プログラムなら、ここからが命令、ここからがユーザーの入力、と機械的に区切れます。しかし自然言語では、資料として渡したテキストの中に書かれた一文が、そのまま指示として解釈されてしまいます。OWASPが公開するLLMアプリケーション向けのリスク一覧では、プロンプトインジェクションが2023年の初版から2025年版まで一貫してLLM01、つまり第1位に置かれています。
ではHowの部分、何から手を付けるべきでしょうか。現実的な優先順位は、まず権限の最小化、次に外部から取り込んだ文章に印を付けて区別すること、そして敵対的なテストを実施することです。2025年6月11日に公開されたCVE-2025-32711は、Microsoft 365 Copilotに対するAIコマンドインジェクションとして登録され、MicrosoftによるCVSS評価は9.3という深刻度でした。この件は研究者からEchoLeakと呼ばれ、利用者が何もクリックしなくても成立する手口として報じられています。Microsoftは既に修正済みで、顧客側の対応は不要と案内しています。
プロンプトインジェクションのよくある誤解
悪意ある人がAIに変な言葉を打ち込むイタズラだ、という誤解
プロンプトインジェクションには、利用者自身が入力する直接型と、AIが読み込む外部の文書やWebページに命令を仕込む間接型の2種類があります。業務利用で怖いのは後者です。社員はいつも通り議事録の要約を頼んだだけでも、その文書に第三者が命令文を潜ませていれば攻撃は成立してしまいます。
入力チェックさえ入れておけば安心という思い込み
フィルタリングは有効な緩和策のひとつですが、それだけで守り切れると考えるのは危険ではないでしょうか。攻撃者は言い回しを変え、別の言語に置き換え、画像や不可視文字に紛れ込ませてきます。OWASPが挙げる7つの緩和策も、単独ではなく重ねて使うことを前提にした組み立てになっています。
社内クローズドな環境なら関係ないと考えてしまう
社内限定の生成AIこそ、間接型の格好の的になります。取引先から届いたメール、外部サイトから保存したPDF、共有フォルダの古い資料。どれも社外の人間が中身を書ける素材です。閉じているのはネットワークであって、AIが読む文章の出どころではないと覚えておきましょう。
会話での使われ方
社内チャットボットを公開する前に、プロンプトインジェクションの試験を一通りやっておいてくれ。外部サイトを読み込ませる機能があるなら、そこを重点的に頼む。
例文1の状況説明：情報システム部の部長が、リリース判定会議の場で開発担当の若手に対して出した指示です。
この要件ですとAIが取引先のメールを直接読む形になりますので、プロンプトインジェクション対策として、送信と削除だけは人の承認を挟む設計にしませんか。
例文2の状況説明：システム開発ベンダーの営業担当が、商談の中で顧客企業の業務部門に代替案を提案している場面です。
昨日の勉強会に出てきたプロンプトインジェクションって、要するにAIが騙されるってこと？
例文3の状況説明：社外の勉強会に一緒に参加した先輩に、新人がランチの雑談として素朴な疑問を投げかけた場面です。
プロンプトインジェクションの歴史
プロンプトインジェクションは、生成AIの普及とほぼ同時に生まれた新しい脅威です。命名から公的機関の注意喚起までの流れを追うと、この数年で対策の位置づけがどれだけ変わったかが見えてきます。
| 年 | 出来事 |
|---|---|
| 2022年 | 9月12日、開発者のSimon Willison氏がブログでprompt injectionという呼称を提案。SQLインジェクションとの類似性から名付けられた。 |
| 2023年 | 8月1日、OWASPがLLMアプリケーション向けのリスク一覧の初版を公開。プロンプトインジェクションがLLM01として第1位に位置づけられた。 |
| 2025年 | 6月11日、Microsoft 365 CopilotのAIコマンドインジェクションの脆弱性CVE-2025-32711が公開。MicrosoftのCVSS評価は9.3で、研究者からEchoLeakと呼ばれた。 |
| 2026年 | 1月29日、IPAが情報セキュリティ10大脅威2026を公開。AIの利用をめぐるサイバーリスクが組織向け3位に初選出された。 |
| 現在 | OWASPの2025年版リスク一覧でもLLM01の座は変わらず、AIエージェントの普及で攻撃対象はさらに広がっている。 |
プロンプトインジェクションとSQLインジェクションの違い
プロンプトインジェクションという名前はSQLインジェクションに由来するため、同じ対策で防げると誤解されがちです。狙う対象も、対策の確実性も異なるので、表で整理しておきます。
| 比較観点 | プロンプトインジェクション | SQLインジェクション |
|---|---|---|
| 狙う対象 | 生成AIやLLMを組み込んだアプリケーション | Webアプリの背後にあるデータベース |
| 仕込む場所 | 入力欄に加え、AIが読むメール・文書・Webページ | 入力フォームやURLのパラメータ |
| 成立する理由 | 自然言語では命令とデータの境界を定義できない | 入力値がSQL文の一部として解釈される |
| 対策の確実性 | 完全な防止策は確立しておらず、緩和策の積み重ねで対処する | プレースホルダの利用など確立した防御手法で封じられる |
| 主な担当者 | AIを導入する事業部門とセキュリティ担当の共同作業 | アプリケーション開発者 |
【まとめ】プロンプトインジェクションの3つのポイント
- 素直すぎるAIに宛てた偽の伝言：AIが読む文章の中に命令を紛れ込ませ、開発者の想定を飛び越えた動作を引き出す攻撃です。
- 権限を絞れば被害は小さくできる：送金・削除・送信といった高リスク操作に人間の承認を挟むだけで、成功しても実害に届かない設計に近づきます。
- 知らずに導入すると漏えいの入口になる：社内限定の環境でも外部由来の文書を読ませる限り危険は残るため、まず自社のAIが何を読んでいるか棚卸ししてみましょう。
よくある質問
-
Qプロンプトインジェクションを受けると何が起きますか？
-
A
機密情報の漏えい、誤った回答の拡散、AIが持つ権限を使った不正操作の3つが代表的な被害です。2025年に公開されたMicrosoft 365 Copilotの脆弱性のように、利用者が何も操作しないまま社内データが外部へ送られる形も報告されています。
-
Q直接型と間接型のプロンプトインジェクションは何が違いますか？
-
A
命令を書き込む人物が誰かという点が最大の違いになります。直接型は利用者自身がチャット欄に細工した文章を入力する形、間接型はAIが読み込むWebページやファイルに第三者があらかじめ命令を仕込む形です。業務利用で警戒すべきなのは、被害者に自覚がないまま進む間接型でしょう。
-
Qプロンプトインジェクション対策として企業は何から始めるべきですか？
-
A
最初の一手は、AIに与えている権限の棚卸しと最小化です。OWASPは7つの緩和策を示しており、出力形式の検証、外部由来のコンテンツの識別、高リスク操作への人間の承認、敵対的なテストなどが並びます。技術的な防御を一点に賭けず、業務フロー側でも歯止めを用意しておくと安全度が上がります。
-
QプロンプトインジェクションとSQLインジェクションとの違いは何ですか？
-
A
攻撃先がAIかデータベースか、そして防ぎ切れるかどうかが決定的に異なります。SQLインジェクションはプレースホルダの利用など確立した手法でほぼ封じられますが、プロンプトインジェクションは自然言語に命令とデータの境界がないため、OWASPも完全な防止策の存在は不明としています。名前が似ていても、同じ感覚で対処すると足をすくわれる点には注意が必要です。
プロンプトインジェクションと一緒に知っておきたい用語
| 用語 | プロンプトインジェクションとの関連 |
|---|---|
| LLM | プロンプトインジェクションが狙う対象そのもの。仕組みを知ると攻撃が成立する理由が腑に落ちます。 |
| プロンプトエンジニアリング | 同じプロンプトを扱いながら、目的が活用と攻撃で正反対に分かれる対の概念です。 |
| SQLインジェクション | 名前の由来となった古典的攻撃。対策の確実性の差を比べると違いが際立ちます。 |
| インジェクション攻撃 | 外部からの入力を命令として解釈させる攻撃の総称で、プロンプトインジェクションの上位概念にあたります。 |
| AIレッドチーミング | OWASPの緩和策にも挙がる敵対的テストの実践手法で、導入前の検証に使われます。 |
【出典】参考URL
https://genai.owasp.org/llmrisk/llm01-prompt-injection/：LLM01:2025 Prompt Injectionの定義、直接型と間接型の区別、7つの緩和策、完全な防止策の存在は不明との記述の根拠
https://owasp.org/www-project-top-10-for-large-language-model-applications/assets/PDF/OWASP-Top-10-for-LLMs-2023-v1_0.pdf：2023年8月1日公開の初版でプロンプトインジェクションがLLM01とされた根拠
https://simonwillison.net/2022/Sep/12/prompt-injection/：2022年9月12日にprompt injectionという呼称が提案された根拠
https://nvd.nist.gov/vuln/detail/CVE-2025-32711：Microsoft 365 CopilotのAIコマンドインジェクション脆弱性の公開日とCVSS9.3の根拠
https://www.securityweek.com/echoleak-ai-attack-enabled-theft-of-sensitive-data-via-microsoft-365-copilot/：当該脆弱性がEchoLeakと呼ばれ、Microsoftが修正済みとしていることの根拠
https://www.ipa.go.jp/security/10threats/10threats2026.html：情報セキュリティ10大脅威2026でAIの利用をめぐるサイバーリスクが組織向け3位となった根拠
https://www.ipa.go.jp/pressrelease/2025/press20260129.html：情報セキュリティ10大脅威2026の公開日が2026年1月29日である根拠
コメント