プロンプトインジェクションとは？

大規模言語モデル（LLM）を使うアプリは、ふつう、アプリを作った人の指示（システムプロンプト）、使う人の頼み、読ませるWebページやメールの文を、つなげて1つにしてから、AIに渡します。2022年にこの問題を名付けて紹介したプログラマーのサイモン・ウィリソンは、信頼できる指示と、信頼できない入力を、文としてつなげてシステムを作っていることが、根っこの原因だ、と書いています。

AIの側から見ると、渡されたのは1つのトークン（言葉のかけら）の並びです。LLM の中には「データ」と「指示」の区別がもともと無く、それまでの文から、いちばんありそうな次のトークンを予測しているだけです。今のAIエージェントも、作った人の指示と、仕事で読むデータを1つの入力にまとめるので、悪い指示をふつうのデータに見せかけられます。

しかも、仕込まれた指示は、人に見える必要がありません。モデルが読みとる文なら、人に見えなくても、読めなくても働きます。たとえば、メールに白い字で書けば、人には見えないのに、AIには読まれます。2023年の論文は、Webページの、画面には出ない書きこみ（HTML のコメント）に指示をかくして試しました。画像の中にかくす例もあります。

2022年9月12日、プログラマーのサイモン・ウィリソン（Simon Willison）が、自分のブログで「prompt injection」（プロンプトインジェクション）という名前を提案しました。きっかけは、その少し前にライリー・グッドサイド（Riley Goodside）が Twitter（今の X）で示した例です。英語をフランス語に訳すよう指示した GPT-3 に、訳してほしい文として、前の指示に従わずに決まった別の言葉を返すよう求める文を渡すと、GPT-3 は訳さずに、その言葉を返しました。

ウィリソンは、これをデータベース（たくさんの情報をためておき、命令の文で取り出すしくみ）への攻撃「SQLインジェクション」になぞらえました。SQLインジェクションは、データベースへの命令の文に、利用者が入力した文をそのままつなげて作ると、入力に紛れこませた命令まで動いてしまう、という攻撃です。信頼できる文と、信頼できない文をつなげる、という作りが同じなのです。SQLインジェクションには、命令と入力を別々に渡す（パラメーター化したクエリ）という、きちんとした防ぎ方があります。ウィリソンも、AIに指示と材料を別々に渡すしくみを考えましたが、2023年4月には、今の LLM のしくみでは、とても難しいか、できないかもしれない、と書き足しました。

ただ、ウィリソンは、この弱点を見つけたのは自分ではない、と書いています。また2025年には、「prompt injection」という言葉が、その4か月前の2022年5月13日の Twitter の投稿に、もう出ていたと紹介しています。

OWASP は2つに分けています。直接のものは、使う人が打ちこんだ文が、AIのふるまいを思いがけない形で変えるものです。間接のものは、AIがWebサイトやファイルなど、外から取りこんだ文が、ふるまいを変えるものです。どちらも、わざとのことも、うっかりのこともある、としています。

間接のものに名前を付けて、くわしく調べたのが、ドイツのザールラント大学や CISPA ヘルムホルツ情報セキュリティセンターなどの研究者による、2023年2月の論文（Greshake ほか）です。論文は、それまでこうした攻撃は、悪い使い手が自分で直接しかけるものと考えられてきたが、AIを組みこんだアプリでは、攻撃する人が離れた所から、ほかの人のAIに影響を与えられる、と指摘しました。研究者は、マイクロソフトの Bing の、GPT-4 を使うチャットなどで試して、こうした攻撃が実際に働くことを示しています。

間接のものでは、使う人は、ふつう攻撃する側ではなく、だまされる側です。AIが自分でWebを読み、メールを送り、ファイルを書きかえるAIエージェントでは、困ることが大きくなります。アメリカの国立標準技術研究所（NIST）の AI の研究所（CAISI）は、AIエージェントが読むメールやファイル、Webサイトに悪い指示を入れて、ねらいとちがう、害のある操作をさせる「エージェントの乗っ取り」を、間接のプロンプトインジェクションの一種としています。Anthropic が2025年8月に発表した試験では、対策をする前の、ブラウザを操作するAIが、うそを書いたメールに従って、利用者に聞かずにメールを消してしまいました。

ウィリソンは2024年3月の記事で、2つは同じではない、と書いています。プロンプトインジェクションは、LLM の上に作ったアプリへの攻撃で、作った人の信頼できる指示に、信頼できない入力をつなげることにつけこみます。脱獄は、LLM そのものに組みこまれた、安全のための決まり（まずい答えを止めるしくみ）を破らせようとする攻撃です。

分けるのは、困ることの大きさがちがうからです。ウィリソンによると、脱獄でよくある困りごとは、AIにまずいことを言わせた画面を撮って広められる、といったものです。プロンプトインジェクションは、大事な情報がもれたり、AIが道具を使って害のある操作をしたりするおそれがあり、ずっと深刻だ、と書いています。

ただし、分け方は資料によってちがいます。OWASP は、2つの言葉はよく同じ意味で使われると書き、脱獄を、AIに安全の決まりをまるごと無視させる、プロンプトインジェクションの一つの形としています。

OWASP がまとめた「LLM アプリの10大リスク」の2025年版では、1番目（LLM01:2025）がプロンプトインジェクションです。起きうることとして、大事な情報がもれる、つながったシステムで勝手な命令が実行される、答えがゆがめられる、大事な判断が操られる、などを挙げています。

アメリカの NIST が2025年3月に出した、AIへの攻撃と守りの分類と用語の資料（NIST AI 100-2 E2025）も、プロンプトインジェクションを取り上げています。NIST の用語集は、信頼できない入力が、より信頼される人（アプリを作った人など）が書いたプロンプトにつなげられることにつけこむ攻撃、と定めています。

イギリスの国家サイバーセキュリティセンター（NCSC）は、SQLインジェクションの攻撃が2010年ごろに最も多くなり、情報がもれる事件が相次いだように、AIを組みこんだアプリを、この問題を考えずに作ると、同じような波が来るかもしれない、と注意しています（NCSC の見通しです）。

かしこさだけでは決まりません。2026年3月の論文（Dziemian ほか）は、だれでも参加できる攻撃の大会で、464人が、13の最先端のAIモデルを使うエージェントに、合わせて約27万2000回、間接のプロンプトインジェクションを試した結果をまとめました。どのモデルでも、成功した攻撃がありました。そして、かしこさと、攻撃への強さの関係は弱く、Google の Gemini 2.5 Pro は、かしこいのに、だまされやすい方でした。NIST の研究所も、この大会の結果を紹介しています。

訓練で強くすることはできます。Anthropic は、ブラウザを操作するAIを、指示を仕込んだ試しのWebページで訓練し、AIに入ってくる信頼できない文をすべて見張る分類器も足して、攻撃が成功する割合を下げた、と発表しています（会社の発表）。それでも同じ記事で、プロンプトインジェクションは解決にはほど遠く、どのブラウザのAIも無縁ではない、成功が1%でも、まだ意味のある危険だ、と書いています。

今のところ、完全に防ぐ方法は無い、というのが資料の見方です。OWASP は、モデルの動きに確率による揺らぎがあるので、確実に防ぐ方法があるかは分からない、と書いています。NCSC は、SQLインジェクションのようには、完全には防げないかもしれないとして、攻撃が起きる見込みと、起きたときの害を小さくすることをめざすよう勧めています。2023年の論文も、はっきりした守りを作るのは、少なくとも難しい、と書いていました。

1つの守りにたよらず、何重にも重ねます。OWASP が勧めるのは、たとえば次のことです。AIの役目とできることを決めておく。答えの形を決めて、プログラムで確かめる。入ってくる文と出ていく文を調べる。AIが使える道具と情報を、必要な分だけにする。危ない操作は、人が認めてから行う。外から来た信頼できない文を、分けて印を付ける。攻撃をまねた試験をくり返す。

外の文に印を付けるやり方の例が、マイクロソフトの「スポットライティング」です。外の文の前後に、ランダムに作った区切りの印を置いたり、外の文全体に印をまぜたりして、AIが使う人の指示と見分けやすくします。ただ、マイクロソフトは、これは確率で効くもので、すべての攻撃を止められることにはたよらない、としています。そこで、すり抜けても害が出ないように、情報が外へもれ出す道をふさいだり、メールの下書きは使う人が自分で確かめて送るようにしたりしています。Google も、怪しい文を見つける分類器や、カレンダーの予定を消すなどの前に使う人に確かめるしくみを重ねている、と発表しています（どちらも会社の説明）。

NCSC は、LLM を、もともとだまされやすい代理人として扱うよう勧めています。たとえば、外から届いたメールを読むAIには、大事な操作ができる道具を持たせないなど、AIの力を、その文を書いた人と同じところまで下げて考えます。ウィリソンは、①使う人の大事な情報を読める、②信用できない外の文を読む、③外へ連絡できる、の3つを1つのAIエージェントにそろえると、だまされて情報を外へ送ってしまうおそれがあるとして、これを「危ない3つの組み合わせ」（lethal trifecta）と呼びました。3つのうち1つでも外せば、この攻撃は防げる、としています。

2023年の論文は、使う人が、AIのアプリの動きの1つ1つを、いつも注意深く見ていることは期待できない、と書いています。だから、守りの中心は作る側です。それでも、使う人にもできることがあります。

Anthropic のヘルプのページは、ブラウザを操作する Claude を安全に使うために、次のことを勧めています。まずは信頼できるサイトで使い、知らないサイトや、だれが書いたか分からない投稿のあるページは避ける。大事な操作や危ない操作は、確かめてから認める。銀行・医療・役所などのアカウントに入っていない、別のブラウザのプロフィールで使う。頼むことは、具体的に書く（会社の説明）。

同じページは、AIが急に関係のない話を始める、思ってもいないサイトを開く、大事な情報を求めてくる、といったときは、プロンプトインジェクションかもしれないので、すぐに作業を止めるよう書いています。AIが「この操作をしてよいですか」と確認を求めてきたら、何をしようとしているのかを読んでから答えましょう。同じページも、認める前に、AIが出した操作を見直すよう勧めています。