プロンプトインジェクションとは、AIに読ませる文章の中に不正な指示を紛れ込ませ、AIを利用者の意図と違う動きにさせる攻撃のことです。AIは、利用者の頼みごとと、読み込んだメール・PDF・Webページに書かれた文を同じ文字の並びとして受け取るため、書かれた指示に従ってしまうことがあります。会社で生成AIを使う場合は、名指しで狙われるより、取引先のメールや公開されたWebページを読ませたときに巻き込まれる形が中心と考えられます。完全に防ぐ方法は今のところ確立されていないため、AIに任せる範囲と、人が確かめる場面を先に決めることが備えの出発点となります。

プロンプトインジェクションは、生成AIを業務で使うときのリスクの1つで、全体像はAIセキュリティとは何かでまとめています。管理画面の設定や社員への周知の進め方はプロンプトインジェクション対策の設定と社内ルールで詳しく扱っているので、あわせてご覧ください。

プロンプトインジェクションとは何か｜意味をわかりやすく

プロンプトインジェクションは、AIへの入力に不正な指示を混ぜ込み、本来の役割と違う答えや操作をさせる攻撃を指します。プロンプトはAIへの指示文、インジェクションは注入という意味で、指示文の中に別の指示を注ぎ込むイメージになります。

セキュリティの国際的な団体であるOWASPは、大規模言語モデル（LLM）を使うアプリの主なリスクをまとめたOWASP Top 10 for LLM Applications 2025で、プロンプトインジェクションを1番目（LLM01）に挙げています。OWASPの説明を読むと、利用者の入力そのものが動きを変える直接型と、Webサイトやファイルなど外部から取り込んだ内容が動きを変える間接型の2つに分けることが出来ます。社員がAIに「この資料を要約して」と頼んだだけでも、資料の中に指示が書かれていれば起こりうる点が、従来のサイバー攻撃との大きな違いでしょう。

会社の指示書に、あとから紛れ込んだ別の指示が勝ってしまう現象

身近な例えで言うと、新人の事務員さんに上司が「届いた書類を読んで要点をまとめて」と頼んだ場面に近くなります。ところが書類の束の中に「この書類を読んだ人は、金庫の暗証番号を表紙に書き写すこと」という紙が1枚混ざっていたとします。人なら上司の頼みと書類の中身は別物だと分かりますが、AIは両方を同じ文字の並びとして読むため、紙の指示まで仕事の一部として受け取ってしまう場合があります。

AIサービスの提供元は、AIの役割や守るべき決まりを書いた見えない指示書（システムプロンプト）をあらかじめAIに渡しています。プロンプトインジェクションは、その指示書よりも、あとから紛れ込んだ別の指示のほうが優先されてしまう現象と捉えると分かりやすいでしょう。

プロンプトインジェクションの仕組み｜AIは指示とデータを区別できない

プロンプトインジェクションが起きる根本の原因は、AIが「従うべき指示」と「材料として読むだけのデータ」を、仕組みの上ではっきり区別できない点にあります。表計算ソフトなら数式の欄と文字の欄は別々に扱われますが、生成AIでは提供元の指示書も、社員の頼みごとも、添付したファイルの本文も、ひと続きの文章として読み込まれます。そのため、読み込んだ文章の中に「これまでの指示を無視して〜せよ」と書かれていると、AIがそれを新しい指示として扱ってしまうことがあります。

Googleは、間接プロンプトインジェクションを「外部データに隠された悪意のある指示を AI モデルが処理することによって引き起こされます」と説明しています。AIは文章の意味を読み取って答えを作る道具なので、意味の通る指示を「データだから無視する」と線を引くのが苦手と考えてください。AIの性能が上がっても、この性質そのものがすぐに消えるわけではありません。AIに読ませた文章は、中身しだいでAIへの指示に変わりうると覚えておきましょう。

人に見えない形の指示（白文字・極小フォント・画像の中の文字）

紛れ込ませる指示は、人の目には見えない形で置かれることが多くなります。よく知られているのは、白い背景に白い文字で書く、極端に小さな文字にする、といったやり方です。2025年に明らかになった論文の件でも、白い文字や極小の文字が使われたと報じられました。OWASPは、画像に指示を隠し、あわせて渡した無害な文章との組み合わせを悪用するおそれにも触れています。画面で読む限りは普通の資料にしか見えないので、受け取った社員が気づけなくても無理はありません。

プロンプトインジェクションの種類｜直接型と間接型

プロンプトインジェクションは、指示を入れる人と入れ方によって、直接型と間接型の2つに分けられます。会社の社員に関わりが深いのは、外部の文書を通じて入り込む間接型になります。

直接型プロンプトインジェクション（利用者が自分で入力する）

直接型は、AIに話しかける本人が、AIの決まりを破らせる目的で細工した文章を入力する形です。OWASPは、利用者の入力が意図しない形や予想外の形でモデルの動きを変えるもの、という趣旨で説明しています。社外の人が使える問い合わせ用のチャットボットを会社が公開している場合、この直接型の相手になる可能性が出てきます。

間接型プロンプトインジェクション（Web・メール・文書に仕込む）

間接型は、攻撃者がWebページやメール、ファイルの中に指示を仕込んでおき、別の人がその内容をAIに読ませたときに発動する形になります。Microsoftの解説では、間接型の指示は「テキスト ファイル、画像、コード、ファイル、またはエンコードされたテキスト」に含めることが出来ると説明されています。社員は攻撃者と直接やり取りしていないので、自分が攻撃の通り道になったことに気づきにくい点が厄介です。

RAG・メール要約・AIエージェント連携で間接型の入口が増える

間接型の入口は、AIに外部の情報を読ませる機能が増えるほど広がっていきます。社内資料を探して答えるRAG（社内文書を参照して回答する仕組み）、受信メールの要約、Webページの閲覧、カレンダーやドライブとの連携は、どれも外から届いた文章をAIに読ませる入口になります。

Googleは、Workspaceで使うGeminiの多層防御として、コンテンツの分類、マークダウンの無害化とURLの除去、利用者に確認を求める仕組みなどを挙げています。Microsoftの説明にも、Microsoft 365 Copilotではクロスプロンプトインジェクション攻撃（XPIA）の分類器で攻撃を減らしているものの、すべての場面で使えるとは限らないとの注記があります。提供元の守りがあっても、入口が増えれば、すり抜ける可能性もそれだけ増えると考えておきましょう。

プロンプトインジェクションで会社に起こりうる被害

会社にとっての被害は、大きく分けて情報の持ち出し、間違った答え、内部の指示書の流出、勝手な操作の4つになります。

• AIが読める範囲にあるメール・社内文書・会話の内容が、攻撃者の用意した宛先やURLに送られてしまう（機密情報・個人情報の漏えい）
• 資料の評価や要約が、仕込まれた指示に沿ってねじ曲げられ、誤った判断材料になる（誤情報・不適切な出力）
• AIサービスの内部の指示書（システムプロンプト）や設定が聞き出され、次の攻撃の手がかりにされる（システムプロンプトの開示）
• メール送信や予定の削除など、AIに任せている操作を勝手に実行される（外部の操作）

Googleは、Geminiのヘルプで被害の例として「メールやドキュメントから個人情報を取得し、一般公開されているウェブサイトに投稿する」ことなどを挙げています。社内の評価や採用の判断にAIの要約を使っている会社では、間違った答えのほうが気づかれにくく、損失が後から大きくなってしまう場合もあるでしょう。

AIエージェント化で被害が漏えいから操作・実行へ広がる

AIが文章を書くだけの道具だったころは、被害の中心は情報が漏れることでした。最近は、Webを閲覧して手続きを進めたり、メールを送ったり、予定を変えたりするAIエージェント（利用者の代わりに操作までこなすAI）が増えてきました。AIが操作の権限を持つと、仕込まれた指示ひとつで、送信・削除・購入のような取り返しのつかない動きにつながるおそれが出てきます。

Anthropicは、ブラウザを操作するClaude in Chromeの安全な使い方の案内で、ブラウザを使うAIが直面する最大のリスクはプロンプトインジェクションだと書いています。同社は社内テストで攻撃の成功率を0.08%未満に抑えたとしていますが、これは同社自身の測定（自己申告）で、第三者が検証した数字ではありません。AIに操作を任せる前に、送信・削除・購入の手前で人が確認する仕組みがあるかを確かめましょう。OpenAIも、エージェント機能を使う人への注意として、確認を求められたら内容を注意深く確かめること、機密性の高いサイトでは動作を見守ることを挙げています。

社員が普段の業務で巻き込まれる場面と、その場の判断

社員がプロンプトインジェクションに巻き込まれるのは、特別な作業ではなく、社外から届いた文章をAIに読ませるいつもの場面になります。誰かが自分の会社を名指しで狙わなくても、ばらまかれたメールや公開されたWebページに仕込まれた指示を読ませれば発動しうるので、会社の規模は関係ありません。次の場面に心当たりがあれば、社内の使い方を見直すきっかけにしてみてください。

取引先や知らない相手から届いたメールを要約させるとき

メールの本文や署名の下に、白い文字で指示が隠されている可能性があります。Microsoft 365 Copilotで報告されたEchoLeakは、細工したメールが届くだけで、利用者の操作なしに機密情報が流出しうる状態だったと報じられました。メールの要約や翻訳をAIに頼むのは構いませんが、返信の送信、本文中のURLを開く操作、添付ファイルの転送はAIに任せず、自分の手で進めるようにしましょう。AIの要約に、メールに無かったはずの依頼やURLが混ざっていたら、そこで手を止めるのが安全です。

PDFや社外の資料を読ませて比べるとき

取引先の提案書や見積書、論文などのPDFにも、白い文字や極小の文字で指示を入れることが出来ます。査読前の論文に、AIによる査読で好意的な評価だけを求める隠し指示が入っていた件のように、AIの評価そのものがねじ曲げられると、比べた結果を信じて判断を誤ってしまいます。複数社の資料をAIに比べさせたときは、結論だけでなく、どの記載を根拠にしたかを答えさせ、元の資料で確かめてください。

Webページや口コミをAIに調べさせるとき

AIのWeb検索やブラウザ機能は、開いたページの文章をそのまま読み込みます。Braveは、Perplexityのブラウザ「Comet」にページの要約を頼むと、Redditのコメントに隠した指示に従ってメールアドレスやワンタイムパスワードを読み取り、外部に送ってしまうデモを公表しています。ログイン中のサービスがあるブラウザでAIに見知らぬページを読ませるときは、要約などの読み取りだけに用途を絞るのが無難でしょう。

求人の応募書類や問い合わせフォームの文面を読ませるとき

採用の現場では、応募書類をAIに要約させたり、評価の下書きを作らせたりする使い方が広がりつつあります。応募書類も外から届く文書なので、論文の件と同じように、評価を高めさせる指示を隠すことは技術的には出来てしまいます。AIの評価は参考にとどめ、合否は人が書類を読んで決める流れにすると、仕込まれた指示の影響を受けにくくなります。

カレンダーの招待やチャットの投稿をAIが読むとき

予定表やチャットツールにAIを連携させている会社では、社外から届いたカレンダーの招待や、誰でも書き込めるチャンネルの投稿も入口の1つです。SafeBreachは、Googleカレンダーの招待に仕込んだ指示が、利用者がGeminiに予定を尋ねたときに発動し、メールの件名の持ち出しや予定の削除まで出来てしまうデモを公表しました。Slack AIでも、公開チャンネルに置いた指示によって、非公開チャンネルにあるAPIキーなどを含むリンクが作られ、クリックすると外部に送られうる状態だったとPromptArmorが報告しています。連携の範囲を広げるほど便利になる一方で、外から書き込める場所もAIの読む範囲に入ることを、導入の前に確かめておきたいところです。

こうした場面は、社員がそれぞれ自分の判断で好きなAIを使っていると、会社として把握すること自体が難しくなってしまいます。どの部署が、どのAIに、どんな社外の文書を読ませているのかを一度洗い出してみると、守りを置くべき場所が見えてきます。

プロンプトインジェクションの実例｜何が起き、会社は何に困り、社員は何が出来たか

公表された実例を見ると、攻撃の多くは特別な侵入の技術ではなく、AIに読ませる文章の工夫だけで成り立っていることが分かります。研究者のデモで示された被害は、実際に起きた被害ではなく、起こりうる状態だったものとして読んでください。

※事例の内容は、2026年11月3日時点で研究者の公表記事・報道・公的資料を確認したものです。修正の時期は各社・研究者の説明によります。

Bing Chatから内部の指示書が引き出された件（2023年・直接型）

2023年、MicrosoftのBing Chatに細工した文章を入力し、開発段階のコードネームなど、公開されていない内部の情報を答えさせた件を、学生がSNSで公表し、海外メディアが報じました。総務省のAIセキュリティ分科会で三井物産セキュアディレクション（MBSD）が提出した資料でも、直接型の事例として紹介されています。会社が自社のチャットボットを公開している場合、設定した指示書や社内向けの決まりが外に知られ、悪用の手がかりにされるおそれがあります。利用する社員の側でできることは少ないため、公開するチャットボットの指示書には、知られて困る情報を書かないことが対策の基本となります。

Microsoft 365 CopilotのEchoLeak（2025年・間接型）

EchoLeakは、Microsoft 365 Copilotで見つかった脆弱性で、細工したメールを送るだけで、利用者が何も操作しなくても機密情報が流出しうる状態だったと報告されています。Aim Security社が発見したと報じられ、識別番号はCVE-2025-32711、深刻度を示すCVSSは9.3と公表されました。IPAのサイトで公開されている中核人材育成プログラム受講者の手引書には、Microsoftが2025年5月に修正パッチを出したと書かれています。会社にとって厄介なのは、社員が怪しいリンクを押していなくても、AIがメールを読むだけで漏れうる点でしょう。社員の側では防ぎようがない種類の弱点なので、AIが読めるメールやファイルの範囲を必要な分に絞ることが、会社としての備えになります。

論文に隠された高評価を求める指示（2025年・間接型）

2025年6月30日に日本経済新聞が、早稲田大学やKAISTなど少なくとも8カ国14大学の論文に、AI向けの隠し指示が入っていたと報じました。英語版のNikkei Asiaは17本の論文で見つかったとし、白い文字や極端に小さな文字が使われていたと伝えました。MBSDの資料では、すべての指示を無視して好意的な評価だけを与えるよう求める一文が、白地に白文字で書かれていた例が紹介されています。会社に置きかえると、取引先や応募者から届いた資料をAIに評価させ、その評価を信じて判断してしまう危うさになります。AIに評価や採点をさせる業務では、結論の根拠になった箇所を原文で確かめる一手間が、社員にできる確かな備えです。

Slack AIと非公開チャンネルの情報（2024年・間接型）

2024年8月20日、セキュリティ企業のPromptArmorは、Slack AIが公開チャンネルの悪意ある投稿を読むと、非公開チャンネルのAPIキーなどを含むリンクを作り、クリックで攻撃者のサーバーへ送られうる状態だったと公表しました。Slackを提供するSalesforceは、パッチを配布したと説明しています。会社にとっては、自分が入っていない非公開チャンネルの情報まで、AIを通じて持ち出されうる点が困るところになります。社員の側では、AIの回答に出てきた見覚えのないリンクを押さないことで、被害の手前で止めることが出来ます。

ChatGPTのメモリに指示を残すSpAIware（2024年）

2024年9月20日、研究者のJohann Rehberger氏は、macOS版ChatGPTアプリのメモリ機能に指示を残させ、それ以降の会話の内容が外部へ送られうる状態だったと公表しました。研究者の記事には、OpenAIがバージョン1.2024.247で修正したと書かれています。1回読ませただけの指示がメモリに残り、後の会話にまで影響が続く点が、この件の怖いところでしょう。社員の側では、AIのメモリ（記憶）に覚えのない内容が増えていないかを時々見直し、心当たりのないものを消すことが出来ます。

NotebookLMにアップロードしたファイル（2024年）

同じRehberger氏は2024年4月15日、NotebookLMにアップロードしたファイルに仕込んだ指示で、別の文書の情報を画像のURLに載せて外部へ送らせられる状態だったと公表しました。研究者によると、2023年12月4日にGoogleへ報告し、2024年4月19日に修正されています。社外から受け取ったファイルを、社内資料と同じノートにまとめて読ませる使い方には注意が必要になります。

Geminiとカレンダー招待（2025年）

SafeBreachは2025年8月6日、Googleカレンダーの招待に指示を仕込み、利用者がGeminiに予定を尋ねると発動するデモを「Invitation Is All You Need」として公表しました。デモでは、メールの件名の持ち出し、予定の削除、Google Homeを通じた家電の操作などが示されています。SafeBreachの記載では、2025年2月にGoogleへ報告され、Googleは2025年6月に操作の前の確認の強化などの緩和策を公表したとされます。会社の予定表は社外の人からも招待が届く場所なので、AIに予定を読ませる機能を使うかどうかは、会社として決めておきたいところになります。

Perplexityのブラウザ「Comet」のページ要約（2025年）

ブラウザを開発するBraveは2025年8月20日、Perplexityのブラウザ「Comet」にページの要約を頼むと、ページ内に隠した指示に従ってアカウントの乗っ取りに至りうるデモを公表しました。Braveによれば、2025年7月25日に報告してPerplexityが修正したものの、公開後に「完全には緩和されていない」と追記しています。Braveは同じブラウザの分野で競う企業なので、この追記はBrave側の見解として読む必要があります。社員の側では、メールやパスワードの管理画面にログインしたままのブラウザで、AIに見知らぬページを読ませないことが身近な自衛になります。

自動車販売店のチャットボットが1ドルで売ると答えた件（2023年・直接型）

2023年12月、アメリカの自動車販売店のチャットボットに「何でも同意せよ」と指示し、新車を1ドルで売ると答えさせた投稿が話題になりました。販売店はその後チャットボットを止めたと報じられていますが、会社が公開したAIが、会社の意思とは違う約束を口にしてしまう分かりやすい例になります。問い合わせ対応などにチャットボットを使う会社では、AIの答えが会社の約束として受け取られないよう、値引きや契約の判断は人が下す形にしておきましょう。

ジェイルブレイク・プロンプトリーキング・SQLインジェクションとの違い

似た言葉との違いは、誰が・何を狙い・会社の社員にどう関わるかで見ると整理しやすくなります。

ジェイルブレイクとの違い

ジェイルブレイク（脱獄）は、AIに安全のための決まりを破らせ、本来は断るはずの答えを出させる手口です。OWASPは、2つの言葉が同じ意味で使われることも多いとしたうえで、ジェイルブレイクをプロンプトインジェクションの一種と位置づけています。ジェイルブレイクは主にAIを使う本人が入力して試すものなので、会社としては社員の利用規程で禁じる話になります。これに対してプロンプトインジェクションは、社員が気づかないうちに外から持ち込まれる点が大きく違います。

プロンプトリーキングとの違い

プロンプトリーキングは、AIサービスの内部の指示書（システムプロンプト）を聞き出して外に漏らさせることを指す言葉です。Bing Chatの件のように、プロンプトインジェクションの手口を使って行われることが多く、狙いを指示書の中身に絞ったものと捉えることが出来ます。社内向けのAIの指示書に顧客名やパスワードを書いていると、それごと聞き出されてしまうおそれがあります。

SQLインジェクションとの違い（自然言語が相手で見分けにくい）

SQLインジェクションは、Webサイトの入力欄にデータベースへの命令文を紛れ込ませる古くからの攻撃で、名前の付け方はプロンプトインジェクションと同じ発想です。SQLインジェクションは命令の書き方が決まっているため、命令とデータを分けて扱う作り方で防ぐことが出来ます。プロンプトインジェクションの相手は日本語や英語のような普通の文章で、指示とデータの境目を機械的に引くことが出来ません。英国の国家サイバーセキュリティセンター（NCSC）は2025年12月10日、プロンプトインジェクションはSQLインジェクションのようには完全に緩和できないかもしれない、という趣旨の見解を示しました。一度入れたら終わりという対策では防げないと考えておくのが現実的でしょう。

おかしいと気づくための兆候と、気づいたときの社員の初動

プロンプトインジェクションは画面の上では見えにくいものの、AIの答えにいつもと違う兆候が出ることがあります。

• 頼んでいない話題に急に変わる要約を頼んだのに、資料に無い依頼や宣伝、別の作業の提案が混ざっている状態です。
• 見覚えのない宛先やURLが出てくる回答の中のリンクや画像のアドレスに知らないドメインが含まれていたら、押さずに止めましょう。
• 資料に無い指示に従っている「前の指示は無視して」などの言葉が答えに出てきたり、頼んだ形式とまったく違う答えが返ったりする場合です。
• 評価が不自然に高い、または低い比べた資料の一方だけを根拠なくほめる答えは、隠し指示の影響を疑う材料になります。
• 頼んでいない送信・削除・購入の確認が出るエージェント機能が承認を求めてきたら、その操作が自分の頼んだことかを確かめます。
• メモリや設定に覚えのない内容が増えているAIの記憶に残った指示は、後の会話にも影響し続けます。

1つでも当てはまったら、その会話でのAIの答えは使わず、次の初動に移ってください。

気づいたときの社員の初動（止める・残す・知らせる）

まず、AIに続きの操作をさせるのをやめ、表示されたリンクやボタンを押さずにその場で止めることが最初の一歩になります。次に、どのファイルやメール、Webページを読ませたか、AIが何と答えたかを、画面の写しや会話の共有リンクで残しておきましょう。そのうえで、社内で決めた窓口（総務や情シス）に、読ませた元の文書と一緒に知らせてください。パスワードや認証コードが画面に出た、送ってしまったなど、情報が外に出た可能性があるときは、該当するパスワードの変更も急ぐ必要があります。会話は消さずに報告する決まりにしておくと、後から原因をたどれるので安心です。

報告を受けた総務・情シス・経営者の役割分担

報告を受けた総務や情シスは、同じ文書を他の社員も読ませていないかを確かめ、必要なら該当するAIの連携機能を一時的に止める判断をします。利用ログを見られる環境であれば、いつ・誰が・どのAIを使ったかをたどることが出来ます。取引先の情報や個人情報が外に出た可能性があるなら、取引先への連絡を含めて、会社としての対応を経営者が決める流れになります。誰が何を決めるかを平時に1枚の紙にまとめると、慌てずに動くことが出来ます。

完全には防げない前提で考える、会社の備え（多層防御）

プロンプトインジェクションは完全に防ぐ方法がまだ確立されていないため、いくつもの守りを重ねて、すり抜けたときの被害を小さくする考え方が基本になります。OpenAIのアプリ連携の管理者向け案内にも、各種の対策はプロンプトインジェクションのリスクを無くすものではないという一文があります。

総務省の分科会資料にある3つの守り（入口・内部・出口）

総務省のAIセキュリティ分科会（2025年10月9日）でMBSDが提出した資料は、対策をAI内部対策・AI入口対策・AI出口対策の3つに分け、組み合わせて多層防御にすることが大切だとしています。入口対策は細工された文章や外部の情報を読み込む前に調べる守り、内部対策はAI自体が細工に従いにくくする守り、出口対策はAIの答えを外に出す前に調べる守りを指します。資料は、対策が時間とともに古くなる場合があるため、続けて見直す必要があるとも書いています。この資料は総務省の公式見解ではなく、MBSDが提出したものです。

対策の中身｜入力と出力の検査・権限の最小化・人の承認・ログ・定期的な診断

OWASPは対策として、モデルの振る舞いの制限、出力形式の検証、入力と出力のフィルタリング、権限の最小化、危険度の高い操作への人の承認、外部コンテンツの分離と明示、攻撃を想定したテストの7つを挙げています。AIを作る会社ではなく使う会社が自分で決められるのは、このうちの権限の最小化と人の承認に、利用ログの確認と定期的な見直しを加えた4つが中心になります。Microsoftは、Defender for Office 365 プラン2が、受信メールに含まれるプロンプトインジェクションの内容を利用者やAIアシスタントに届く前に検出すると説明しています。こうした提供元の機能が使えるかどうかは契約しているプランで変わるため、自社の契約を一度確かめてみてください。

AIエージェント・ブラウザ機能を会社で使う前に確かめる3つの問い

AIにWebの閲覧やファイルの操作、メールの送信を任せる機能を会社で使うかどうかは、次の問いに答えられるかで判断することが出来ます。

• AIは何に触れる権限を持つのか（メール、ドライブ、カレンダー、社内システムのどこまでか）
• 送信・削除・購入の前に、人の承認を求める画面が出るか
• AIが何を読み、何をしたかのログが残り、会社が後から見られるか

答えられない問いが1つでもある機能は、大事なデータに触れさせない形で試しましょう。OpenAIは、エージェントにはタスクに必要な機密データや認証情報にだけアクセスさせること、指示はできるだけ明確に与えることも勧めています。指示が曖昧で裁量が広いほど、外部の有害な指示に従う余地が増えるという説明です。

シャドーAI・社内チャットボットが攻撃面になる

会社が把握していないAI、いわゆるシャドーAI（野良AI）は、プロンプトインジェクションの面でも見えない入口になります。社員が個人で入れたAIのブラウザ拡張や、個人契約のAIサービスは、会社が権限や連携の設定を確かめることが出来ません。会社が社外向けに公開しているチャットボットや、社内向けに作ったAIの窓口も、外から文章を受け取る以上は攻撃の入口となりえます。社内のAI利用の把握の仕方は野良AI（シャドーAI）の基本で、管理画面の具体的な設定と社員への周知はプロンプトインジェクション対策でまとめているので、手順はそちらを参考にしてください。

公的機関・業界団体はプロンプトインジェクションをどう位置づけているか

日本の公的機関も、AIの利用にともなうリスクを相次いで取り上げるようになりました。IPAが2026年1月29日に公開した「情報セキュリティ10大脅威 2026」では、組織編の3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃で、AIのリスクがそれに続く位置に入ったことになります。

総務省が令和8年3月に示した「AIのセキュリティ確保のための技術的対策に係るガイドライン」は、AIを作る開発者や提供者を主な読み手とし、主な脅威としてプロンプトインジェクション攻撃とDoS攻撃を挙げています。AIを使う側の会社が直接読むものではありませんが、契約するAIサービスの提供元がどんな対策をとっているかを尋ねるときの物差しになるでしょう。海外では、OWASPがLLMアプリのリスクの1番目にプロンプトインジェクションを置き、英国のNCSCは完全には緩和できないかもしれないと注意を促しています。社内で説明する場面では、IPAの10大脅威を入口に使うと、経営層にも伝わりやすくなります。

※IPAの資料と各事例は2026年11月3日、OWASP・英国NCSC・各社の公式ヘルプ・総務省分科会の対策資料は2026年9月25日時点で原文を確認した内容です。

よくある質問

まとめ

プロンプトインジェクションは、AIに読ませる文章へ指示を紛れ込ませ、利用者の意図と違う答えや操作をさせる攻撃です。AIが指示とデータを区別できないという性質から生まれるため、提供元の守りが進んでも、完全に無くすことは難しいと考えられています。会社で生成AIを使うときに気をつけたいのは、取引先のメール、PDF、Webページ、応募書類、カレンダー招待のように、社外から届く文章をAIに読ませる場面になります。読み取りはAIに任せても、送信・削除・購入やリンクを開く操作は人が担い、おかしな兆候に気づいたら止める・残す・知らせるの順で動いてみてください。

設定と社内ルールの具体的な作り方はプロンプトインジェクション対策、AIの利用全体の守り方はAIセキュリティとは何かやAIセキュリティチェックリスト、社内ルールの文書は生成AIの社内ガイドラインの作り方が参考になります。ほかの記事はAI活用コラム一覧からご覧いただけます。