プロンプトインジェクション攻撃が企業AIの最大の脆弱性に
海外メディアVentureBeatの報道によると、LLM（大規模言語モデル）を導入する企業が増える一方で、その設計上の欠陥を狙った「プロンプトインジェクション」攻撃が急速に拡大しているとされています。プロンプトインジェクションとは、LLMに対して悪意のある指示や情報を埋め込み、本来の動作を改ざんさせる攻撃手法です。
OWASP LLM Top 10（2025年版）では、プロンプトインジェクションが最も深刻なLLM固有の脆弱性として連続2年ランクされています。サイバーセキュリティ企業CrowdStrikeの2026年グローバル脅威レポートでは、2025年に90社以上の組織が被害を受け、認証情報や暗号資産の窃取に利用されたと記録されています。報告書では「プロンプトは新しいマルウェアである」と指摘されており、AI対応の攻撃者による全体的な攻撃数は前年比89%増加したとのことです。
現実の被害事例と進化する攻撃手法
プロンプトインジェクションはもはや理論上の脅威ではなく、実際に組織に被害をもたらしています。PromptArmorの研究者が2024年8月に公表したSlack AIの脆弱性では、公開チャネルに悪意のある指示を埋め込むことで、攻撃者がアクセス権限のないプライベートチャネルからAPIキーなどの情報を盗み出せたとされています。さらに2025年6月には、Aim Securityの研究者がMicrosoft 365 Copilotの脆弱性「EchoLeak」を報告。単一の細工されたメールを送信するだけで、ユーザーの操作なしに内部ファイルへのアクセスと外部への送信が可能だったとのことです。
ソースによると、プロンプトインジェクション手法は多様化しており、複数のモデルを連鎖させる「クロスモデルインジェクション」、外部情報源を学習データとして取り込むRAGパイプラインへの「サプライチェーン中毒」、複数のAIモデルから最も脆弱なものを選ばせる「モデルルーター操作」など、より高度な攻撃が登場しているとされています。企業のAIエージェントがメール送信やクラウドインフラ操作を実行可能になるにつれ、単一の指示で大きな被害をもたらす可能性が増加しています。
企業がいますぐ取り組むべき対策
LLMの根本的な課題は、指示とデータ、コンテキストとメタデータを確実に区別できない点にあります。この設計上の限界が、攻撃者に操作の余地を与えているとソースは指摘しています。企業向けにソースで示唆されている対策の方向性は以下の通りです。
- モデルの実行権限を制限し、何ができるかではなく何をさせないかに焦点を当てる
- RAGパイプラインを含むすべての外部データを潜在的に危険な存在として扱う
- 高リスクの自動実行を人間の承認ステップに変更する
- RAGデータ源の信頼性検証を強化する
- 複数モデル間の経路選択機構を堅牢化する
- LLMを「信頼できない解釈者」として扱う思考転換
日本の企業にとって、この情報が示唆する課題は重要です。チャットボット、社内支援ツール、自動ワークフロー、データガバナンスなど、幅広い用途でLLMが導入される局面で、プロンプトインジェクション対策が設計段階から必須となると考えられます。ソースは、許可管理の見直しや外部データの扱いについて、従来のセキュリティアプローチとは異なるマインドセットが必要と指摘しています。
一方、ソースに含まれていない点として、日本国内の被害統計、日本の規制当局による公式ガイドライン、具体的なツールや製品レベルの推奨対策は確認されていません。企業での実装については、セキュリティ専門家への相談を含め、詳細な検討が必要とみられます。