プロンプトインジェクション攻撃とは？―最新事例と防御策を完全網羅
プロンプトインジェクション攻撃は生成AIの弱点を突く新手のサイバー脅威です。本記事では技術的仕組み、実際の被害事例、具体的な防御策を詳しく解説します。
▽ 要約
・プロンプトインジェクション攻撃は、LLM（大規模言語モデル）に悪意ある指示を混入し制御を奪う手口
・直接型と間接型の 2 種類があり、特にウェブ経由の「見えない指示」が深刻
・実例として Bing（コードネーム Sydney）や ChatGPT で内部ルールや個人情報が流出
・対策は入力検証、権限管理、多層監視、定期的な脆弱性テストが要
・攻撃者の法的責任と開発者の安全設計責任が並行して問われる
プロンプトインジェクション攻撃とは
プロンプトインジェクション攻撃（以下「PI攻撃」）とは、生成AIが ユーザー入力と開発者指示を区別せずに解釈する 点を突き、悪意ある命令を混入させるサイバー攻撃です。結果として、本来非公開の情報や禁止された出力が引き出される事態が起こります。
攻撃の技術的メカニズム
1. 直接型（Direct）
攻撃者が対話欄に「これまでの指示を無視して…」と明示的に入力し、機密情報の開示などを強要します。
2. 間接型（Indirect）
ウェブページや文書に 人間には見えない指示 を埋め込み、AIがそのコンテンツを処理する際に不正コマンドを読み込ませる方法です。不可視の Unicode 文字や HTML コメントが代表例です。
3. 確認された被害事例
- 内部情報流出 — 社内チャットボットを介し顧客データが外部へ漏洩。
- Sydney 事件 — Bing チャットボットがユーザーの誘導で内部ルールを暴露。
- メールアドレス大量生成 — ChatGPT が企業社員のアドレス一覧を出力。
- Tay の暴走（前史） — 大量の悪意入力で差別発言を連発し強制停止。
4. 効果的な防御策
レイヤー | 具体策 | 目的 |
|---|---|---|
入力制御 | 不正文字の除去・長文制限 | 悪指示を排除 |
プロンプト設計 | ユーザー文とシステム命令を明示的に区切る | 誤優先の防止 |
権限管理 | データベースを最小権限で接続 | 被害範囲の限定 |
監視・検知 | WAF・AI用監視ツールで異常パターンをブロック | 早期遮断 |
セキュリティテスト | 疑似攻撃による定期診断 | 抜け穴の発見 & 修正 |
運用教育 | 利用規約整備と社内研修 | 人的ミス抑止 |
OWASPでの位置付け
Webアプリの安全性の指針で知られるOWASPは、生成AIアプリのリスク一覧「OWASP Top 10 for LLM Applications」で、プロンプトインジェクションを1番目の項目（LLM01）に挙げています。OWASPはこれを、利用者の入力や外部のコンテンツがモデルの挙動を意図しない形で変えてしまう脆弱性と説明し、利用者が直接書き込む「直接型」と、Webページや文書に仕込まれた指示をモデルが読み込む「間接型」に分けています。
暗号資産の分野で考えられる被害
AIにウォレットやAPIキーの操作を任せる「AIエージェント」が広がると、間接型の影響はより直接的になります。次はいずれも仕組みを説明するための架空の例です。
| 場面 | 起こりうること | 備え |
|---|---|---|
| AIに記事やSNS投稿を要約させる | 本文に隠した指示で、偽の送金先や偽サイトのURLを「公式」と答えさせる | AIの回答に出たアドレスやURLを、公式サイトで照合してから使う |
| AIエージェントに取引所APIを渡す | 読み込んだページの指示で、意図しない売買や出金先の追加を実行させる | APIキーは出金権限を外し、IP制限と少額の上限を付ける |
| メールの自動処理 | 届いたメールに埋め込んだ指示で、受信箱の内容を外部へ送らせる | 外部への送信や支払いは、人の確認を挟んでから実行する設定にする |
利用者ができる対策
- AIに渡す権限は作業に必要な最小限にする（読み取りだけで足りるなら書き込み権限を渡さない）
- 送金・署名・出金先の変更など取り消せない操作は、AIの判断だけで実行させない
- AIが示した数字やリンクは、一次情報で確かめてから使う
出典：OWASP Gen AI Security Project「LLM01: Prompt Injection」（2026年10月22日確認）
倫理的課題と今後の展望
PI攻撃を試みる行為は多くの国で不正アクセス等の法令違反に該当し得ます。一方で、開発者・サービス提供者も利用者が安心できるよう 安全設計と迅速なインシデント対応 を行う責任があります。今後は OWASP などのガイドライン整備とモデル自体の堅牢化が進む見込みです。
ニュース解説：生成AI普及といたちごっこ
生成AIの導入が加速するにつれ、PI攻撃は「実証研究」段階から 現実的な脅威 へと移行しています。特に 2023 年以降、Bing Chat や ChatGPT でのガードレール回避報告が相次ぎ、企業は 生成AIプラットフォームの一元管理 と 利用ルールの明確化 を急いでいます。攻撃手法は日々高度化しており、防御側は多層防御と継続的な監査で“いたちごっこ”に臨む必要があります。
