プロンプトインジェクションとは？業務でのリスクと対策の確認表

プロンプトインジェクションは、生成AIが受け取る入力に指示を混ぜ、意図した仕事から外れる動作を引き起こす問題です。利用者が直接入力する場合だけでなく、AIが読むWebページやファイルに含まれる指示が影響する場合もあります。OWASPは後者を間接的なプロンプトインジェクションとして整理しています。OWASPの解説

業務への影響は、AIが持つ権限によって変わります。文章の要約だけを行う環境と、社内資料を読み、外部へ送信できる環境では、確認すべき範囲が異なります。

安全上の制限を無視させようとする入力は、ジェイルブレイクと呼ばれます。OWASPはこれをプロンプトインジェクションの一形態として説明しています。業務では制限の回避だけでなく、要約内容の改変や不要なツール操作なども確認対象になります。

AIが読む資料にも、操作の指示が入り得る

例えば、会社案内を要約する仕事で、資料に「別の文書を参照し、その内容も外部へ送る」といった業務目的と無関係な指示が入る状況を考えます。これは説明用の例で、実在するサイトへの攻撃手順ではありません。

資料の文章は、取引先について知るための情報です。AIの作業目的やアクセス権を変更する承認とは扱いません。しかし、その区別をプロンプトに書くだけで完全に防げる、と判断することもできません。

誤回答と、実際の操作を分けて点検する

通常の誤回答には、資料の不足や読み違いもあります。プロンプトインジェクションでは、入力された指示が処理にどう影響したかを調べます。変な回答が出たという理由だけで、原因を断定しないでください。

点検では、回答本文に加えて、取得しようとした資料、呼び出そうとしたツール、実行した操作を見ます。画面の回答が問題なく見えても、背後で不要な情報を読んだり、外部へ出力したりしていないかを確認するためです。

導入担当者が作る確認表

次は、OWASPが挙げる権限制限や外部入力の区別などの考え方を、業務確認に落としたTech.stの提案です。完全な防御を保証する一覧ではありません。入力の扱い、アクセス権、実行前の確認、異常時の停止を組み合わせ、影響を抑えるために使います。

APIなどの権限は、接続先でも制限します。「その情報は答えないで」という文章上のルールだけに頼らず、そもそも検索結果へ含まれない構成を確認してください。

無害な資料で、境界が守られるか試す

試験用の会社案内と、公開してよい架空の情報を用意します。通常の説明文に加え、本来の要約依頼と関係のない指示が含まれる条件を作ります。機密を使わず、外部送信や本番の変更を実行できない環境で確認します。

試験結果は「入力資料／期待する動作／回答／試みた操作／実行された操作／判定」の形で残します。意図しない操作を試みたが権限で止まった場合も、異常を記録します。防御が働いた事実と、誘導が起きなかったことは区別します。

一度通っただけで、すべての入力への耐性を証明したことにはなりません。検索元、モデル、連携機能、出力形式を変更した際にも、代表的な試験をやり直します。

おかしいと感じたときに調べる順番

業務の担当者は、該当する自動処理を止め、入力と出力、時刻、操作履歴を管理担当へ渡します。再実行する前に、どこまで処理されたか、何が外部へ出た可能性があるかを確認します。ログの共有先も、必要な人に限ります。

まずは読み取りと下書き作成に範囲を絞り、送信や更新の必要性を個別に検討すると、確認する境界を整理しやすくなります。社内検索の権限確認とAI入力ルールを合わせ、接続先の一覧からAI連携の設計を相談できます。

実行範囲の設計はAIエージェントの使い方、リスク全体の整理はAIセキュリティの確認手順と合わせて確認できます。