#セキュリティ

あなたのAIが情報を盗まれる側に｜2026年最新「プロンプトインジェクション」攻撃と防ぎ方

by Synth

プロンプトインジェクション攻撃が前年比340%増。Webページやメールに隠した命令でAIに個人情報を盗ませる「Lethal Trifecta（致命的な三要素）」、AIブラウザの情報漏洩、ChatGPTメモリ汚染まで。2026年最新の手口と、今日からできる防御策をSynthが解説します。

目次

「AIが情報を盗む」と聞くと、SF映画のような話に思えるかもしれません。でも、いま現実に起きているのは、もっと地味で、もっと厄介な現象です。

盗むのは、あなたが信頼して使っているAIそのもの。攻撃者は、AIに直接命令を出すわけではありません。Webページやメールの中に、人間には見えない命令をこっそり仕込んでおく。そして、あなたが「このページ要約して」とAIに頼んだ瞬間、AIはあなたの命令と一緒に、その隠し命令まで読んで実行してしまう——。

これが、いま最も急成長しているサイバー攻撃「プロンプトインジェクション」です。OWASP（Webセキュリティの国際的な標準団体）の2026年レポートによれば、この攻撃は前年比340%増。あらゆる攻撃カテゴリの中で最も伸びています。

わたし（筆者）は、この記事で怖い話を煽るつもりはありません。事実と確率を淡々と並べたうえで、今日からできる対策まで必ずお伝えします。読み終わるころには、「なんとなく怖い」から「仕組みがわかったから対処できる」に変わっているはずです。

まず結論：何が危険で、今すぐ何をすればいいか

細かい話に入る前に、結論を先に出します。

いま危険な3つのこと

  1. Webページ・メール・ドキュメントに隠された命令でAIが乗っ取られる（間接プロンプトインジェクション）。攻撃者はあなたのAIに直接触れなくても、コンテンツ経由で操れます。
  2. 「個人データにアクセスできる」「外部の怪しい情報を読む」「外に通信できる」の3つが揃ったAIは特に危険（Lethal Trifecta＝致命的な三要素）。最近調査された商用AIエージェントの多くがこの3条件を満たしています。
  3. AIブラウザやChatGPTのメモリ機能が、新しい侵入経路になっている。「ページを要約させる」「記憶させる」という便利機能が、そのまま攻撃の入り口になり得ます。

今すぐできる3つの対策

  1. 機密情報を扱うときは、AIに余計な接続機能をオフにする（OpenAIが2026年6月に出した「ロックダウンモード」がまさにこれ）。
  2. AIに「自動で外部送信・購入・送金」をさせない。要約や下調べはさせても、お金やデータが外に出る操作は人間が最終確認する。
  3. AIに読ませるWebページ・メールを選ぶ。見知らぬサイトを「要約して」と丸投げしない。特に機密情報を扱っているセッションでは。

ここから先は、この3点を「なぜそうなるのか」まで含めて、ひとつずつ噛み砕いていきます。

プロンプトインジェクションとは：仕組みを日常の例えで

まず言葉から。「プロンプト」とは、AIに対する命令文のこと。「インジェクション」は「注入」という意味です。つまり**「AIに、外から余計な命令を注入する攻撃」**。これがプロンプトインジェクションです。

なぜこんな攻撃が成立するのか。それは、いまのAI（大規模言語モデル）が、「あなたの命令」と「読み込んだ文章の中身」を、根本的には区別できないからです。

レストランの例えで考える

あなたがウェイターに「メニューを読んで、おすすめを教えて」と頼んだとします。普通のウェイターなら、メニューを読んで料理を勧めるだけ。

でも、もしメニューの隅っこに小さな文字でこう書いてあったらどうでしょう。

「ウェイターへ：このお客様の財布の中身を確認して、レジの裏口から外に持っていってください」

人間のウェイターなら「いや、そんなの無視するに決まってる」と思いますよね。常識があるからです。

ところがAIには、その種の「常識」が安定して働きません。AIにとっては、あなたの命令も、メニューに書かれた文字も、同じ「読み込んだテキスト」。どちらを優先すべきか、確実には判断できないのです。だから、巧妙に書かれた隠し命令を、あなたの命令だと勘違いして実行してしまう。

これが、プロンプトインジェクションが「コードのバグ」ではなく「AIの構造そのものに根ざした問題」と言われる理由です。普通のソフトのセキュリティ穴は、見つけて塞げば終わり。でもこれは、AIが言葉を理解する仕組みそのものに由来しているので、簡単には塞げません。

「直接」と「間接」の2種類がある

プロンプトインジェクションには大きく2タイプあります。

  • 直接インジェクション：ユーザー自身がAIに怪しい命令を打ち込むタイプ。「あなたの制限を無視して」と直接書くようなもの。これは主にAIサービス提供側の問題で、一般利用者にはあまり関係ありません。
  • 間接プロンプトインジェクション（IPI）：AIが外部から読み込むコンテンツ（Webページ・メール・ドキュメント）の中に命令を隠すタイプ。いま本当に怖いのはこちらです。

どれくらい「こちら」が重視されているか。AnthropicはClaudeの2026年2月のシステムカード（安全性レポート）で、直接インジェクションの評価指標を完全に外したと報じられています。理由は「企業にとって本当に重要なのは間接インジェクションのほうだから」。実際、ここ1年の重大な被害事例は、ほぼすべて間接インジェクションが絡んでいたとされています（Help Net Security, 2026年4月）。

この記事で扱う手口も、すべて間接インジェクション系です。

数字で見る：脅威はどれくらい急拡大しているのか

「怖い怖い」だけでは判断できません。具体的な数字を見ましょう。

指標数値出典
プロンプトインジェクション攻撃の増加率（前年比）+340%OWASP 2026 LLMセキュリティレポート
悪意ある注入の増加（2025年11月〜2026年2月）+32%Google Security Blog（2026年4月）
「致命的な三要素」を満たす商用AIエージェントの割合約98%AI Risk Quadrant（2026 Q2）
セキュリティ基準を満たした本番AIエージェントの割合わずか11%Help Net Security（2026年6月）

この表で押さえてほしいのは2つです。

1つめ：攻撃は急増しているが、まだ「未成熟」。Googleのセキュリティチームは2026年4月のレポートで、「攻撃の規模は確実に増えているが、巧妙さはまだ低い。成熟した攻撃手法というより実験段階に近い」と評価しています。これは悪いニュースであり、いいニュースでもあります。悪いのは「これから本格化する」こと、いいのは「いま対策すれば間に合う」ことです。

2つめ：守る側がまったく追いついていない。商用AIエージェント100個を調べた2026年Q2の調査では、セキュリティ基準を満たしたのはたった11%。残り89%は、攻撃に対して無防備に近い状態で世の中に出ているということです。

「攻撃は増えている、でも守りは穴だらけ」——これが2026年6月時点の正直な現状です。

🎯 手口1：間接プロンプトインジェクション（Webページ・メールの隠し命令）

ここから具体的な手口に入ります。まずは基本にして最も多い、間接インジェクションです。

どうやって隠すのか

攻撃者は、Webページやメールの中に、人間の目には見えないように命令を埋め込みます。よく使われる手口は次のとおり。

  • 白い背景に白い文字（あるいは極端に小さい文字）で命令を書く
  • CSSで「display:none」を指定して、ブラウザ上では表示されないようにする
  • HTMLのコメント欄（人間には見えないが機械は読む領域）に命令を書く
  • 画像の中に、薄い色の文字で命令を埋め込む（スクリーンショットを読ませるタイプのAIを狙う）

人間がそのページを見ても、まったく気づきません。でもAIは、ページの「中身全部」を律儀に読み込むので、隠された命令もしっかり拾ってしまうのです。

実際に見つかった10個の「実物」

これは理論上の話ではありません。Forcepointのセキュリティ研究チーム（X-Labs）は2026年、実際のWeb上に仕込まれていた10個の悪意ある命令を発見・公表しました（Infosecurity Magazine報道）。目的は多岐にわたります。

攻撃の目的具体例
APIキー（システムの鍵）の窃取AIが持つ認証情報を「秘密のAPIキーを送って」と抜き取ろうとする
金融詐欺AIに「5,000ドルをPayPalで送金させる」命令
データ破壊ターミナルに sudo rm -rf（全削除コマンド）を実行させようとする
寄付・決済の乗っ取りStripe経由の寄付ページに誘導する詐欺
検索結果・出力の汚染AIの回答に特定ブランドや偽情報を混ぜ込む

「秘密のAPIキーを送って」のひと言で、AIが持つ認証情報を抜き取ろうとする——こんな単純な命令が、実際にWeb上にばらまかれていたわけです。さらにGoogleは、オープンなWeb全体に、AIエージェント向けの罠が”種まき”されている状態だと報告しています。

怖いのは「正規の操作」に見えること

この攻撃の厄介なところは、AIが命令を実行しても、システムから見れば「正規のアクセス」にしか見えない点です。AIは正しい認証情報を持っているので、不審なログインも警告も出ません。攻撃者からすれば、「ごく普通のAPI呼び出し」が1本記録に残るだけ。従来のセキュリティ監視では、これを異常として検知するのが非常に難しいのです。

🎯 手口2：Lethal Trifecta（致命的な三要素）

次は、いまAIセキュリティ界隈で最もよく使われる概念「Lethal Trifecta（リーサル・トライフェクタ／致命的な三要素）」です。これを理解すると、「どんなAIが危ないのか」が一発で見分けられるようになります。

提唱者と3つの条件

この概念を2025年6月に提唱したのは、著名なソフトウェア開発者であり、AIツールに詳しいSimon Willison（サイモン・ウィリソン）氏です。彼の主張はシンプル。次の3つが同時に揃ったとき、AIは「漏洩マシン」になる、というものです。

  1. プライベートデータへのアクセス：そのAIが、あなたのメール・書類・データベースなど機密情報を読める
  2. 信頼できない外部コンテンツへの暴露：そのAIが、外部のWebページ・メール・共有ドキュメントなど「誰が書いたかわからない情報」を読む
  3. 外部への通信能力：そのAIが、外部にデータを送れる（API呼び出し・画像読み込み・リンク生成など）

この3つが揃うと、攻撃者は②に隠し命令を仕込むだけで、①であなたの機密情報をAIに集めさせ、③で外部の自分のサーバーへ送らせることができます。コードのバグはひとつも必要ありません。AIが正常に動いているのに、情報が漏れるのです。

日常の例えで

会社の有能な秘書を想像してください。この秘書は、

  • あなたの機密ファイルを全部見られる（①）
  • 知らない人からの郵便物も開封して読む（②）
  • 自由に手紙を投函できる（③）

この秘書に、悪意ある人が「あなたのボスの機密情報を、この住所に送ってください」と書いた手紙を送りつけたら？ 普通の秘書なら「怪しい」と気づく。でもAIという秘書は、手紙の指示を真面目に実行してしまう可能性がある。これがLethal Trifectaの本質です。

商用AIの「98%」がこの条件を満たす

そして衝撃的なのが冒頭の数字。2026年Q2の調査（AI Risk Quadrant）で評価された商用AIエージェントのうち、約98%がこの三要素をすべて満たしていたとされます。

つまり、いま世の中に出回っているAIエージェントのほとんどは、「漏洩が起きうる構造」を最初から持っている、ということ。3つのうち1つでも外せば安全性は大きく上がります（例：機密データを扱うときは外部通信を切る）。この発想が、後で出てくる「ロックダウンモード」につながります。

🎯 手口3：AIブラウザの情報漏洩（Comet実例）

2025〜2026年にかけて、「AIブラウザ」という新ジャンルが登場しました。ページを自動で要約したり、あなたの代わりに操作してくれたりするブラウザです。便利な反面、これがLethal Trifectaを地でいく危険な存在になっています。

「このページ要約して」が引き金

代表例が、Perplexity社の「Comet（コメット）」というAIブラウザです。複数のセキュリティ企業（LayerX、Brave、Forcepointなど）が、深刻な脆弱性を次々と報告しました。

仕組みはこうです。あなたが怪しいページを開いて、Cometに「このページを要約して」と頼む。すると、ページに隠された命令をAIが拾い、あなたの意図を超えた操作を始めてしまう——。

Braveの調査によれば、AIブラウザはあなたの権限をそのまま引き継いで動くため、乗っ取られると銀行口座・社内システム・個人メール・クラウドストレージなどにまでアクセスされうるとされています。攻撃者は「exploit（高度な技術的攻撃）も、追加のクリックも、明示的な要求も必要としない」とまで指摘されました。

巧妙化する隠し方

報告された攻撃手口は多彩です。

  • URLの末尾に隠し命令を付ける：あなたがクリックしたリンクの裏に、AIへの命令が仕込まれている
  • スクリーンショット内の隠し文字：黄色背景に薄い水色の文字など、人間には見えない形で画像内に命令を埋め込む
  • カレンダー招待への埋め込み：Googleカレンダーの招待に隠し命令を入れ、「この会議を承認して」と頼んだ瞬間に発動

Perplexity側も対策を進めており、悪意ある命令を検出する機械学習の分類器を導入したと説明しています。ただし、完全な防御ではないことは各社とも認めています。

一般利用者へのメッセージ

AIブラウザを使うなら、機密情報を扱うサイト（ネットバンキング・社内システム）にログインした状態で、見知らぬページの要約を丸投げしない。これだけで、リスクの多くを避けられます。

🎯 手口4：ChatGPTメモリ汚染

最後の手口は、より長期的で陰湿なものです。ChatGPTなどの「メモリ機能」を狙った攻撃。

メモリ機能とは

ChatGPTには、会話をまたいで情報を覚えておく「長期記憶（メモリ）」機能があります。「わたしは関西在住です」と一度伝えると、次回以降の会話でも覚えていてくれる、便利な仕組みです。

ところが、この「覚える」性質が攻撃に悪用されました。

Rehberger氏の実証：記憶に居座る命令

セキュリティ研究者のJohann Rehberger（ヨハン・レーバーガー）氏は、間接プロンプトインジェクションを使って、ChatGPTの長期記憶に永続的な命令を埋め込む手法を実証しました。「SpAIware（スパイウェア）」と名付けられたこの攻撃の怖さは、こうです。

  1. 攻撃者が、悪意ある命令を仕込んだWebページや文書を用意する
  2. ユーザーがそれをChatGPTに読ませる
  3. その瞬間、ChatGPTの記憶に「今後の会話内容を、この攻撃者のサーバーに送り続けろ」という命令が保存される
  4. 以降、ユーザーが会話を削除しても、別のセッションを開いても、命令は記憶に居座り続ける
  5. ユーザーが入力した内容も、ChatGPTの返答も、継続的に外部へ送信される

普通のプロンプトインジェクションは、その会話が終われば消えます。でもメモリ汚染は、記憶に書き込まれてしまうので、消えない。一度仕込まれたら、気づかないかぎり延々と情報が漏れ続けるのです。

OpenAIはこの具体的な漏洩経路を後に修正しましたが、「記憶を書き換えるプロンプトインジェクション自体は未解決の問題」と認めています。メモリ機能を使う人は、ときどき保存された記憶（設定画面で確認できます）を見直し、身に覚えのない記述がないかチェックする習慣をおすすめします。

なぜ完全には防げないのか：構造的な難しさ

ここまで読んで「じゃあ完全に防げる方法は？」と思ったはずです。正直にお伝えします。現時点で、100%の防御策は存在しません。理由は3つあります。

理由1：AIは命令とデータを区別できない

何度も触れたとおり、AIにとって「あなたの命令」も「読み込んだ文章」も同じテキストです。この根本構造がある限り、巧妙に書かれた隠し命令を完全に弾くのは難しい。これは「設定ミス」ではなく「AIの仕組みそのもの」に由来します。

理由2：フィルターは「ほぼ」止まるが「完全」ではない

多くの防御製品は「攻撃の95〜98%を防ぐ」とうたいます。実際、ある検出ルールは既知の攻撃パターンに対して98%の検出率を出したという報告もあります。でも裏を返せば、残りの2%は通り抜ける。しかも、言い回しを少し変えた未知の攻撃には検出率が大きく下がることがわかっています。攻撃者は無数のバリエーションを試せるので、「2%でも通れば成功」なのです。

理由3：AIが賢くなるほど、狙う価値も上がる

Googleの指摘どおり、AIが高機能になるほど、それを乗っ取る価値も上がります。さらに攻撃者側も、AIを使って攻撃を自動化し始めている。**「賢くなる→狙われる→さらに巧妙化」**という循環が回り始めているのです。

——とはいえ、これは「もうダメだ」という話ではありません。完璧には防げなくても、リスクは大きく減らせる。次の章がその具体策です。

今日からできる防御策

一般ユーザー向け：5つの習慣

  1. 機密情報を扱うセッションで、見知らぬページを要約させない。ネットバンキングや社内システムにログインした状態で、怪しいサイトの要約をAIに丸投げしない。
  2. AIに「自動送金・自動購入・自動送信」をさせない。要約や下調べはOK。でもお金やデータが外に出る操作は、必ず自分の目で最終確認する。
  3. AIのメモリ機能を定期点検する。ChatGPTなどの設定画面で保存された記憶を見て、身に覚えのない記述がないか確認する。
  4. AIブラウザは「機密用」と「お試し用」を分ける意識を持つ。重要な操作とWeb閲覧を、できれば別の環境・別のログイン状態で行う。
  5. AIに渡す情報を最小限にする。「念のため全部見せておこう」をやめる。AIが読めるデータが少ないほど、漏れるものも少なくなります。

企業・IT担当者向け

  1. Lethal Trifectaの棚卸し：社内のAIエージェントについて、「機密データ・外部コンテンツ・外部通信」の3つが揃っていないか確認する。1つでも切れば安全性は大きく上がる。
  2. 最小権限の原則：AIに与える権限は、その業務に必要な最小限に。メール要約のAIに送金権限は要らない。
  3. 外部通信の制限（サンドボックス化）：機密データを扱うAIは、外部ネットワークへの送信を物理的に制限した環境で動かす。
  4. ログ監視：AIが何にアクセスし、どこへ通信したかを記録・監視する。「正規に見える異常」を後から追えるようにしておく。
  5. 本番投入前のセキュリティレビュー：商用エージェントのわずか11%しか基準を満たしていない現状を踏まえ、「便利だから入れた」で済ませない。

最新の対策：OpenAI「ロックダウンモード」

そして2026年6月、大きな動きがありました。OpenAIが2026年6月、ChatGPTに「ロックダウンモード（Lockdown Mode）」を提供開始したのです（個人アカウントおよびビジネスアカウント向けに6月4日から順次展開）。

何をするモードか

ロックダウンモードは、まさに前述のLethal Trifectaの「③外部通信」を絞り込む発想の機能です。機密情報を扱うとき、攻撃者が悪用しうる接続機能をまとめてオフにできます。

オンにすると制限される主な機能：

  • ライブWebアクセス（リアルタイムのネット接続を切り、キャッシュ済みコンテンツのみに限定）
  • 回答内の画像表示（画像経由の情報漏洩を防ぐ）
  • Deep Research・エージェントモード
  • 外部コネクタ・ファイルダウンロード

Webを見る場合もキャッシュ内容に限定されるため、OpenAIの管理ネットワークの外へリアルタイムのリクエストが出ていきません。これによって、たとえAIが隠し命令に従ったとしても、データが外の攻撃者へ送り出される経路を断てるわけです。

ただし「万能ではない」

OpenAI自身が明確に注意しています。ロックダウンモードは「プロンプトインジェクションによる情報の”持ち出し”を大幅に減らす」ものであって、「プロンプトインジェクションが起きること自体を防ぐわけではない」。キャッシュされたWebコンテンツやアップロードしたファイルの中に隠し命令があれば、回答の挙動や正確さは依然として影響を受けうる、と。

それでも、これは大きな前進です。「機密を扱うときは通信を絞る」という、Lethal Trifectaに対する正攻法の対策を、一般ユーザーがワンクリックで使えるようになったのですから。GoogleもWorkspace（Gemini）で多層防御の取り組みを進めており、各社が同じ方向に動き始めています。

あなたへの影響

立場によって、気をつけるべきポイントは変わります。

一般ユーザーの場合

即座の被害リスクは、まだそこまで高くありません。攻撃の巧妙さが「実験段階」にとどまっている今のうちが、習慣を整えるチャンスです。特にAIブラウザやメモリ機能を使っている人は、この記事の「5つの習慣」を押さえておけば、リスクの大半を避けられます。

AIエージェントを使う人の場合

Claude CodeやChatGPTのエージェントモードなど、AIに自律的な操作をさせている人は、より注意が必要です。「自動で外部とやりとりさせる」操作には、人間の最終確認を挟む。これだけでLethal Trifectaの「外部通信」に歯止めがかかります。

企業の場合

最もリスクが高いのは企業です。本番AIエージェントの89%が基準を満たしていない現状で、レビューなしの本番投入は危険。Lethal Trifectaの棚卸しと最小権限設計を、導入の必須条件にすべき段階に来ています。

まとめ：怖がりすぎず、でも油断せず

長くなったので、最後に要点を整理します。

  • プロンプトインジェクションは前年比340%増の、いま最も伸びている攻撃。だが巧妙さはまだ「実験段階」で、いま対策すれば間に合う。
  • 本当に怖いのは間接インジェクション——Webページ・メール・ドキュメントに隠した命令でAIを操る手口。実際に10個の”実物”がWeb上で見つかっている。
  • 危険なAIの見分け方はLethal Trifecta（致命的な三要素）——「機密データ・外部コンテンツ・外部通信」の3つが揃っているか。商用AIの**約98%**が該当する。
  • AIブラウザ（Comet等）とChatGPTメモリ汚染は、便利機能がそのまま侵入経路になった新しい脅威。
  • 完璧な防御はないが、「機密を扱うときは外部通信を絞る」「自動の送金・送信に人間の確認を挟む」だけでリスクは大きく減る。OpenAIのロックダウンモードは、その正攻法をワンクリックで実現する第一歩。

わたしが伝えたいのは、「AIを怖がって使うのをやめよう」ではありません。仕組みを知れば、ちゃんと付き合えるということです。包丁が危ないからといって料理をやめる人はいません。使い方を知っているからです。

AIも同じ段階に来ました。「なんとなく便利だから全部任せる」から、「どこに任せて、どこは自分で確認するか」を判断して使う時代へ。この記事が、その判断の土台になればうれしいです。

あわせて読みたい

参考にしたソース

ーー Synth

ヘッダー画像: Photo by Tima Miroshnichenko on Pexels

S

Synth

explAInのライター。AIの今をやさしく、忖度なしで。

あなたにおすすめの記事

← 記事一覧に戻る