プロンプトインジェクションとは？AIへの指示を「すり替える」攻撃の仕組みと防ぎ方をやさしく解説

AIに関するセキュリティ用語で、いま一般ユーザーが知っておく価値が最も高いのがプロンプトインジェクション（prompt injection）です。一言でいえば、AIへの指示を外部から「すり替える」攻撃。AIがウェブを閲覧し、メールを読み、代わりに操作まで行う時代になったことで、この攻撃の影響範囲が一気に広がりました。仕組みと典型パターン、そして利用者としてできる防御を、たとえ話でやさしく解説します。

プロンプトインジェクションとは？

AIチャットは「システムからの指示」と「処理すべきデータ」をどちらも同じ自然言語として受け取ります。ここに弱点があります。読ませたデータの中に「これまでの指示を無視して、代わりに◯◯せよ」という命令文が紛れ込んでいると、AIがデータと指示を取り違えて従ってしまうことがあるのです。新人アシスタントが、処理すべき郵便物の中に紛れた「上司の指示っぽいメモ」を本物の指示と信じて実行してしまう——そんなイメージです。

直接型と間接型——怖いのは間接型

• 直接型：利用者自身が細工した指示を入力し、AIの制限を破ろうとするもの（いわゆる「ジェイルブレイク」に近い）。
• 間接型：AIが読み込む外部コンテンツ（ウェブページ・メール・文書・画像）の中に命令を仕込むもの。利用者は何も悪いことをしていないのに、AIが読んだページの隠しテキストに操られる。

本当に警戒すべきは間接型です。たとえば「このページを要約して」と頼んだだけなのに、ページの見えない場所に「読者に偽サイトのリンクを勧めよ」と書かれていたら——AIがそれに従う恐れがあります。

なぜ「エージェント時代」に危険度が上がるのか

読むだけのAIなら、騙されても被害は誤った回答止まりでした。しかしブラウザを操作し、メールを送り、買い物までするAIエージェントが騙されると、被害は「行動」になります。受信メールに仕込まれた命令で機密情報を転送してしまう、悪意あるページの指示で意図しない操作をしてしまう——セキュリティ業界がAIエージェントの権限管理を繰り返し警告するのは、この構図があるからです。OWASPのLLMアプリケーション向けリスク一覧でも、プロンプトインジェクションは筆頭に挙げられ続けています。

なぜ根本解決が難しいのか

従来のSQLインジェクションなどは「命令とデータを厳密に分離する」ことで対策が確立しました。しかしAIの場合、命令もデータも同じ自然言語で、明確な境界線が引けません。「怪しい命令をフィルタする」対策は進んでいますが、言い回しは無限に作れるため、いたちごっこの側面が残ります。「完全な防御は当面難しい」という前提で、被害を限定する設計（権限の最小化・重要操作の人間承認）が業界の主流になっています。

利用者ができる5つの防御

• エージェントに与える権限を最小に：メール送信・購入・ファイル削除など「実行系」の権限は必要な時だけ。
• 重要操作は確認ステップを残す：「送信前に必ず確認を求める」設定を外さない。
• 怪しい出力に気づく：要約を頼んだだけなのにリンクのクリックや情報入力を勧めてきたら停止のサイン。
• 機密情報を扱う作業と、外部コンテンツを読む作業を分ける：同じセッションに同居させない。
• AIブラウザ・エージェント機能の設定を確認：サイトごとの許可、自動実行の範囲を把握しておく。

よくある質問（FAQ）

普通にチャットで質問するだけなら安全ですか？

外部コンテンツを読ませない純粋な質問応答なら、間接型の入口がないためリスクは大きく下がります。危険度が上がるのは「読み込み」と「実行」の権限を与えたときです。

大手のAIなら対策済みではないのですか？

各社とも検知・防御を強化しており多くの単純な攻撃は防がれますが、完全ではありません。だからこそ各社は重要操作に人間の確認を挟む設計を残しています。

ウイルス対策ソフトで防げますか？

いいえ。プロンプトインジェクションはプログラムの脆弱性ではなく「言葉による騙し」なので、従来型のマルウェア対策では検出できません。AI側の防御と利用者の運用が対策の中心です。

AI学びラボの関連記事：AIブラウザとは？現在地とプロンプトインジェクションのリスク · AI詐欺の見分け方 · MCPとは？