何が起きているか
OWASPはLLM Top 10(2025)でプロンプトインジェクションを「LLM01」、すなわち最重要カテゴリに2版連続で位置づけました。CrowdStrikeの2026年版グローバル脅威レポートは、2025年に90を超える組織で正規の生成AIツールに悪性プロンプトが注入され、認証情報や暗号資産の窃取コマンドが生成された事例を記録しています。AIを活用した攻撃の総量は前年比89%増で、プロンプトインジェクションは侵入口と被害拡大の双方を担っています。
単なるチャット欄の問題ではない
2024年8月にPromptArmorが公表したSlack AIの脆弱性は、公開チャンネルやアップロード文書に攻撃指示を埋め込むことで、プライベートチャンネル内のAPIキーまで持ち出せるというものでした。2025年6月にはAim SecurityがMicrosoft 365 Copilotに対する世界初のゼロクリック実用攻撃「EchoLeak」を開示。1通のメールだけで悪性プロンプトが成立しました。いずれも修正済みですが、攻撃面が「ユーザー入力欄」ではなく「AIが読み込むあらゆるコンテンツ」にあることを示した点で象徴的です。
なぜ防ぎにくいのか
LLMは「指示」と「データ」、「文脈」と「メタデータ」、「ユーザー意図」と「外部入力」を構造的に区別できません。マルチエージェント構成、RAGパイプライン、モデルルーター、長期メモリ、そして百万トークン級の文脈窓は、攻撃者にとって誘導余地の宝庫です。クロスモデル注入、RAGサプライチェーン汚染、エージェント乗っ取り、文脈オーバーフロー、メモリ汚染、ルーター操作——攻撃手法は「人間が読むテキスト」から「機械が解釈する制御信号」へと拡張しています。記事中で引用される”Prompts are the new malware.”という表現は、この構造転換を端的に示しています。
💼 事業会社視点：これは自社にどう効くか
日本企業にとって、これは「セキュリティ部の課題」ではなく経営課題です。EC事業者がカスタマーサポートにRAG型チャットを導入した瞬間、商品レビュー欄や問い合わせフォームは攻撃者の指示注入経路になります。SaaS各社が競って実装する社内コパイロットも、SharePointやNotionに置かれた1つの文書から認証情報が抜ける構造的リスクを抱えます。受託開発各社は、納品するAIエージェントの「ツール実行権限」を顧客環境の管理者権限と同等に扱う契約・監査体制が問われるでしょう。
役員が今期決めるべきは3点です。第一に、生成AIに渡す権限を業務単位で最小化し、決済・データ抽出など高インパクト動作は人間承認を必須にする運用ルールの策定。第二に、外部入力(メール、PDF、Webクロール結果)を「信頼できないコード」と同格で扱うガバナンス。第三に、PoC段階のAIを本番昇格させる際の独自セキュリティレビュー基準の整備です。EchoLeakが示したのは、ベンダー任せの安全神話が崩れたという事実に他なりません。