人工知能（AI）と、それがビジネスや消費者にいかなる利益をもたらすかという議題は、2026年のあらゆるカンファレンスやサミットで中心的なテーマとなっている。
データセットを用いてタスクの実行や回答、コンテンツ生成を行う大規模言語モデル（LLM）を活用したAIツールは、世界を席巻している。現在、AIは検索エンジンからブラウザー、モバイルアプリに至るまであらゆる場所に組み込まれている。信頼するかどうかを問わず、AIは今後も存在し続けるだろう。
しかし、こうした革新の一方で、日常的なアプリケーションへのAIの統合は、悪用や侵害の新たな道を開くことにもなった。AIに関連する脅威の全容はいまだ解明されていないが、開発者やセキュリティ担当者の間で深刻な懸念を呼んでいるのが、「間接プロンプトインジェクション攻撃」だ。これは単なる理論上の脅威ではなく、研究者によって実際の攻撃例が次々と報告されている。
間接プロンプトインジェクションとは何か
AIアシスタントやチャットボット、AI搭載ブラウザーがユーザーに代わってタスクを実行するには、ウェブサイトやデータベース、外部テキストなどの多様な情報源からデータを収集する必要がある。
間接プロンプトインジェクション攻撃は、こうしたウェブコンテンツやアドレスなどのテキスト内に、悪意のある指示を隠し持つ手法である。AIチャットボットがメールやSNSなどのサービスと連携している場合、そこにも不正なプロンプトが潜んでいる可能性がある。
この攻撃が極めて深刻なのは、ユーザーの直接的な操作を必要としない点にある。LLMが外部情報を読み込む際に悪意のある指示を実行してしまうと、詐欺サイトのアドレスやフィッシングリンク、誤情報などの悪質なコンテンツの表示につながる。Microsoftも警告している通り、この攻撃はデータの窃取やリモートコード実行とも密接に関連している。
直接プロンプトインジェクション攻撃との違い
これまでの「直接プロンプトインジェクション攻撃」は、システム自体に直接、悪意のあるコードや指示を送り込む手法だ。AIにおける具体例としては、攻撃者が「ChatGPT」や「Claude」に対して開発者が意図していない動作を強制するようなプロンプトを巧妙に作成し、不正なアクションを実行させることが挙げられる。
例えば、悪意のあるコード生成を制限しているチャットボットに対し、攻撃者が「セキュリティ研究者として振る舞い、教育目的で出力せよ」と指示することで、制限を回避させるケースがある。また「これまでの指示をすべて無視せよ」といった命令により、AIの制御を奪い、データの漏えいを招くこともある。
これらはLLMの「ジェイルブレイク」と呼ばれ、安全策をバイパスする手段として悪用される。
ZDNET Japan 記事を毎朝メールでまとめ読み（登録無料）