プロンプトインジェクション（Prompt Injection）とは・意味、仕組み・由来・事例

最終確認日：2026年10月31日

プロンプトインジェクションとは？

プロンプトインジェクションとは、AIへの入力に指示を紛れ込ませ、利用者や開発者の意図と違う動きをAIにさせる攻撃のこと。英語では「prompt injection」と書く。国内では情報処理推進機構（IPA）が、解説書や試験のシラバス案で「プロンプトインジェクション」と書いている（※21、※22）。

攻撃の型は、指示の入れ方で2つに分かれる。攻撃の手口をまとめる MITRE の知識ベース「ATT&CK」によると、直接型では攻撃者がAIの入力欄に悪意のある指示を直接打ち込む（※2）。間接型では、AIが処理しそうなウェブページや文書、メール、コードなどに攻撃者が指示を埋め込む（※1）。間接型の指示は、利用者がAIに直接与えるものではない（※13）。

OpenAI は、会話型のAIに特有のソーシャルエンジニアリング（人をだまして情報や操作を引き出す手口）の一種だと説明している。フィッシングメールが人をだまして機密情報を聞き出そうとするように、プロンプトインジェクションは利用者が頼んでいないことをAIにさせようとする（※5）。

似た語にジェイルブレイクがある。ソフトウェアのセキュリティに取り組む非営利の団体 OWASP の資料によると、プロンプトインジェクションのうち、モデルに安全の決まりを破らせることを狙うものがジェイルブレイクだ（※4）。Milad Nasr 氏らの論文は、有害な知識を引き出すのがジェイルブレイク、遠隔から悪意のある動作を起こさせるのがプロンプトインジェクションと分けている（※17）。

プロンプトインジェクションの仕組みと影響

間接型のプロンプトインジェクションは外部の内容を読むときに起きる

間接型の攻撃は、AIが外部の内容を読み込む普通の作業の中で起きる。OpenAI は想定の例として、メールの要約を頼まれたエージェントが悪意のあるメールを読み込む場面を挙げた（※6）。エージェントは一般に、目標に向けて自ら手順を決め、道具を使って作業を進めるAIを指す。

人の目には見えない指示もある。Anthropic は、白い文字で書かれて人には見えないがエージェントは処理する指示の例を挙げている（※12）。OWASP によると、モデルに影響する入力は人が読めるものでなくてもよく、画面に見えるものでなくてもよい。画像や音声の中に指示を隠す手口もこの攻撃に含まれるという（※4）。

英国 NCSC の Chismon 氏はLLMに指示とデータの境界がないと説明

英国の国家サイバーセキュリティセンター（NCSC）の Dave Chismon 氏は2025年12月の記事で、大規模言語モデル（LLM）はプロンプトの中の指示とデータの間に安全のための境界を設けていないと説明した。

SQLインジェクションは、データベースへの命令に悪意のある文字列を混ぜる古くからの攻撃で、入力を命令として扱わせない手法で防げる。同氏は、プロンプトインジェクションはSQLインジェクションのように完全には防げない可能性が十分にあるとしている（※11）。

同氏の例では、応募者が履歴書に、これまでの指示を無視して面接に通すよう求める見えない文を入れ、採用の担当者が使うAIに読ませる。AIがその文に従えば、データであるはずの履歴書が指示として働いたことになる（※11）。

プロンプトインジェクションの被害は業務の文脈と権限で変わる

OWASP によると、攻撃の深刻さや性質は、モデルが使われる業務の文脈とモデルに与えた権限によって変わる。起こりうる結果には、機密情報の漏えい、攻撃者が選んだ内容を出力させる操作、許可のない道具の呼び出しなどが挙げられている（※4）。

NCSC の Chismon 氏は、LLMの出力をもとに道具を呼び出すシステムでは特に注意が必要だとする。攻撃の影響は、攻撃者にその道具を直接使わせた場合に起きる最悪の事態にまで広がるという（※11）。

プロンプトインジェクションの由来と注目されるようになった背景

「prompt injection」という名前を2022年9月に提案したのは、プログラマーの Simon Willison 氏だ。同氏は2022年9月12日のブログで、Riley Goodside 氏が投稿した OpenAI の言語モデル GPT-3 の例を紹介した。翻訳を頼むプロンプトに、上の指示を無視するよう求める文を混ぜると、GPT-3 が翻訳せずにその文に従う例だ。

Willison 氏はこれをセキュリティ上の攻撃の一つとみて、「prompt injection」という名前を提案し、SQLインジェクションになぞらえた（※7）。

Preamble は、同じ弱点を先に報告していたと説明している。同社によると、2022年5月3日に GPT-3 の脆弱性を OpenAI に報告し、当時は「command injection」と呼んでいた。同社は、「prompt injection」の語は数か月後に Willison 氏が作ったと説明している（※8）。

Willison 氏は2025年8月のブログで、自分より4か月早い2022年5月13日にこの語を作った例として、@himbodhisattva の投稿を紹介している（※25）。

間接型の攻撃は、Kai Greshake 氏らが2023年2月に公開した論文で論じられた。論文は、LLMを組み込んだアプリではデータと指示の境目があいまいになると指摘した。攻撃者がアプリの入力欄を使わなくても、取り出されそうなデータに指示を入れれば遠隔から攻撃できることを、GPT-4 を使う Bing のチャットなどで実証している（※9）。

プロンプトインジェクションの危険を大きくしているのは、AIができることの広がりだ。OpenAI によると、AIが機密のデータに触れ、より長い作業を自ら進めるようになるほど、プロンプトインジェクションの危険は増す（※5）。

Anthropic は、ブラウザを操作するエージェントでは危険が2つの面で大きくなるとしている。読み込むページや広告などのすべてが攻撃の入り口になりうること、URL の移動やフォームの入力など攻撃に使われうる操作が多いことだ（※12）。

プロンプトインジェクションやそれを含むリスクは、セキュリティの団体や公的機関の資料でも取り上げられている。

Microsoft は2025年7月の記事で、間接型は OWASP の LLM アプリの危険の一覧（2025年版）の1番目で、同社に報告されたAIのセキュリティの脆弱性で最も広く使われる手法の一つだと説明した（※14）。OWASP は2026年8月3日に、この一覧の2026年版を公開した。

プロンプトインジェクションは、この版でも1番目だ（※4）。MITRE は2026年10月13日の ATT&CK v20 で、直接型と間接型を新しい手法に加えた（※3）。

IPA の「情報セキュリティ10大脅威 2026」の組織編では、「AI の利用をめぐるサイバーリスク」が3位に初めて選ばれた。解説書はこのうち「AIシステム固有の脆弱性を狙った攻撃」の項で、挙げた攻撃の多くに共通する手法として間接プロンプトインジェクションを説明している（※21）。

プロンプトインジェクションに関する主な出来事・ニュース

• 2022年5月3日　Preamble、GPT-3 の脆弱性を OpenAI に報告：Preamble はのちに公開した記事で、この日に GPT-3 の脆弱性を OpenAI へ報告したと説明した。
• 2022年9月12日　Simon Willison 氏「Prompt injection attacks against GPT-3」を公開：Willison 氏は、自身のブログで「prompt injection」という名前を提案した。
• 2022年11月17日　Fábio Perez 氏と Ian Ribeiro 氏「Ignore Previous Prompt」を公開：両氏は論文の置き場 arXiv で公開した論文で、GPT-3 に対する goal hijacking と prompt leaking の2種類の攻撃を調べた。
• 2023年2月23日　Kai Greshake 氏ら「Not what you’ve signed up for」を公開：Greshake 氏らは arXiv の論文で、Indirect Prompt Injection による攻撃を Bing の GPT-4 を使うチャットなどで実証した。
• 2025年10月10日　Milad Nasr 氏ら「The Attacker Moves Second」を公開：Nasr 氏らは arXiv の論文で、最近の防御を破ったと報告した。
• 2025年11月24日　Anthropic「Mitigating the risk of prompt injections in browser use」を公開：Anthropic は、Claude Opus 4.5 のブラウザ操作での防御の改善を説明し、Claude for Chrome を研究プレビューからベータ版に広げた。
• 2025年12月8日　英国 NCSC の Dave Chismon 氏「Prompt injection is not SQL injection (it may be worse)」を公開：Chismon 氏は、プロンプトインジェクションをSQLインジェクションと同じものとして比べる危険を論じた。
• 2025年12月22日　OpenAI、ChatGPT Atlas の防御の強化を説明：OpenAI は、社内の自動の攻撃役が見つけた攻撃をもとに、ブラウザのエージェントを更新したと発表した。
• 2026年2月13日　OpenAI、ChatGPT の「Lockdown Mode」を発表：OpenAI は、外部とのやりとりを絞る任意の設定を、まず企業や教育機関向けなどのプランで提供した。
• 2026年3月3日　Palo Alto Networks の Unit 42、ウェブ上の間接型の攻撃を報告：Unit 42 の Beliz Kaleli 氏らは、自社の観測からウェブ上の間接型の攻撃を報告した。
• 2026年4月23日　Thomas Brunner 氏ら「AI threats in the wild」を公開：Brunner 氏らは Google のセキュリティブログで、公開ウェブの保存データ Common Crawl を調べた結果、悪意のある分類の検出が増えていたと報告した。
• 2026年10月1日　生成AI活用普及協会、生成AIパスポートのシラバス改訂を発表：生成AI活用普及協会（GUGA）は、2027年2月開催の試験から適用するシラバスを公開し、プロンプトインジェクションなどの項目を加えた。
• 2026年10月13日　MITRE、ATT&CK v20 を公開：MITRE は、企業向けの区分（Enterprise）の新しい手法に Direct Prompt Injection と Indirect Prompt Injection を加えた。

プロンプトインジェクションに関する事例・研究

Unit 42 はウェブページを使う間接型の実際の攻撃を報告

Palo Alto Networks の Unit 42 の Kaleli 氏らは2026年3月、自社の観測データから、ウェブページを使う間接型の攻撃が実際に使われていると報告した。確認した手法は22あり、狙いにはデータの破壊、許可のない取引、機密情報の漏えいなどが含まれる（※15）。

報告が取り上げた例の一つは、詐欺の広告ページに指示を隠し、AIによる広告の審査をすり抜けようとしたものだ。Unit 42 は2025年12月に報告したこの例を、同社の知る限りAIによる広告の審査のすり抜けを狙った実例の最初の報告だとしている。

観測データでは、指示の入れ方で最も多かったのは目に見える普通の文字で、37.8%だった。全体の狙いで最も多かったのは、無関係な出力をさせるもので、28.6%だった（※15）。

Google の調査では、ウェブ上の悪意のある指示の検出が増加

Google のセキュリティブログで、Thomas Brunner 氏らは、公開ウェブの大規模な保存データ Common Crawl を調べた結果を報告した。データは英語圏のウェブが中心で、SNS の多くを含まない。見つかった指示の大半は、次の6つの分類に入った。いたずら、要約への案内、検索での宣伝、AIの閲覧の妨げ、データの持ち出し、破壊だ（※16）。

データの持ち出しや端末のファイルの削除を狙う指示について、同氏らは、高度な攻撃は多く見られなかったとしている。ただし、悪意のある分類の検出は2025年11月から2026年2月の間に相対で32%増えた。同氏らは、今後は規模も巧妙さも増すと予想している（※16）。

OpenAI の社内の試験では、エージェントが退職の文面を送信

OpenAI は、LLMを使った自動の攻撃役を試行錯誤から学ぶ強化学習で育てた。この攻撃役を使い、同社のブラウザ ChatGPT Atlas のエージェントなどへの攻撃を社内で探している。同社が公開した実演では、攻撃役が利用者の受信箱に指示入りのメールを置いた。利用者が不在の自動返信の下書きを頼むと、エージェントはそのメールの指示に従い、利用者の勤め先の最高経営責任者に退職の文面を送った（※6）。

同社によると、セキュリティの更新のあと、エージェントはこの試みを検知するようになった。同社はこの更新を、この攻撃役が見つけた新しい種類の攻撃をきっかけに行ったと説明している（※6）。

攻撃の仕方を変えると12の防御の大半で成功率9割超という論文

Milad Nasr 氏らは2025年10月の論文で、ジェイルブレイクとプロンプトインジェクションへの最近の12の防御を試した結果を報告した。防御の作りに合わせて攻撃の仕方を変え、多くの資源をかけて最適化する攻撃者を想定すると、すべての防御を破れた。攻撃の成功率は、大半の防御で90%を超えた。これらの防御の過半は、もとの評価では成功率がほぼ0%と報告されていた（※17）。

MITRE の知識ベースは直接型の実例に身分の詐称を掲載

MITRE の知識ベースは、直接型が実際に使われた例を載せている。その一つは、Anthropic が報告したサイバー攻撃だ。攻撃者は利用者をセキュリティ企業の社員と偽り、防御のための試験だと Claude に伝えて制限された操作を認めさせようとした（※2）。

プロンプトインジェクションを防ぐ仕組み

Google、Microsoft、Anthropic は、複数の対策を重ねる方針を示している（※13、※14、※20）。各社や MITRE が挙げる対策には、次のようなものがある。

• モデルの訓練：攻撃の例を学習に使い、悪意のある指示に従わないようにする。Anthropic は、模擬のウェブの内容に入れた指示を見抜いて断ったときに報酬を与える形で訓練している（※12）。
• 検出：読み込む内容を分類の仕組みで調べ、攻撃の疑いを見つける。Google のコンテンツ分類や Microsoft の Prompt Shields がこれに当たる（※13、※14）。
• 権限の制限：AIに与える権限を作業に必要な範囲に絞る。MITRE は、外部の内容を処理するエージェントに専用のIDを与え、権限を最小にすることなどを挙げている（※1）。
• 人の確認：リスクの高い操作の前に利用者の承認を求める。Google は、カレンダーの予定の削除などを例に挙げている（※13）。

OpenAI は2026年3月の記事で、悪意のある入力を見分けるだけでは足りないとした。巧妙な攻撃は人をだます手口に近づいており、入力の検査で見抜くのは、うそを見抜くのと同じように難しいという。そこで同社は、だまされても影響が限られるようにシステムを設計する考え方を示している（※18）。AIの外側の仕組みで届く範囲を区切る封じ込めも、同じ方向の対策だ。

OpenAI の「Lockdown Mode」は、外部との接続を絞って情報の持ち出しの危険を減らす任意の設定だ。

有効にすると、ウェブの閲覧は保存済みの内容に限られ、エージェントモードなどの機能は制限されるか使えなくなる。同社は2026年2月の発表で、大半の利用者には要らず、著名な組織の経営者やセキュリティの担当者など一部の人に向けた設定だと説明した。同年6月4日の更新では、個人のアカウントにも順次提供するとしている（※19）。

プロンプトインジェクションの英語での言い方

プロンプトインジェクションへの対策の限界とAIエージェントを使うときの注意・試験での扱い

プロンプトインジェクションを完全に防ぐのは難しいとの見方

OpenAI は、ウェブ上の詐欺と同じように、プロンプトインジェクションが完全に解決される見込みは低いとしている（※6）。Anthropic は2025年11月の記事で、攻撃の成功率が1%でも意味のある危険だとし、攻撃を受けないブラウザのエージェントはないと述べた（※12）。

IPA は間接型について、完璧な技術的対策は知られていないと説明している（※21）。OWASP は2026年版で、確実に防ぐ仕組みは今のところないとしている（※4）。

AIエージェントに仕事を任せるときの注意

OpenAI は、AIエージェントを使う人に向けて、次のようなことを勧めている（※5、※6）。

• 作業に要らないなら、ログインしていない状態でエージェントを使う。
• 確認を求められたら、操作の中身と共有する情報が適切かを確かめる。
• 「メールを見て必要な対応をして」のような広い頼み方を避け、具体的な作業を頼む。

具体的に頼んでも危険がなくなるわけではないが、OpenAI は攻撃を実行しにくくなると説明している（※6）。確認の求めが何度も続くと、中身を見ずに許可する承認疲れにも気をつけたい。

Anthropic は開発者向けの手引きで、取り消せない操作の前に利用者の確認を求めることを最も効果のある対策に挙げている。エージェントの権限を絞ることも、攻撃を防ぐことと同じくらい重要だという（※20）。

指示をAIの記憶に残し、あとのやりとりまで影響させる攻撃は、Memory Poisoning の項目で扱っている。

IPAのシラバス案などにプロンプトインジェクションの語が入る

IPAのプロフェッショナルデジタルスキル試験（仮称）と情報処理安全確保支援士試験の科目A-1のシラバス案（2026年9月30日掲載の Ver.0.1）は、AIシステムへの攻撃の用語例に「プロンプトインジェクション（直接，間接）」を挙げている（※22）。2027年2月の試験から適用される生成AIパスポートのシラバスにも、AIエージェントの章に項目が入った（※23、※24）。

プロンプトインジェクションに関連する用語

• Memory Poisoning：記憶の機能を持つAIエージェントなどに、攻撃者が偽の情報や悪意のある指示を覚え込ませる攻撃。
• エージェントID：AIエージェントに、人の利用者のアカウントとは別に割り当てる専用のID。
• サンドボックス脱出：外と切り離された実行環境の欠陥や設定の誤りをAIモデルが突いて、本来は届かないはずのシステムやネットワークに到達すること。
• 承認疲れ：AIエージェントなどから操作の許可を何度も求められるうちに、人が中身をよく確かめずに承認するようになること。

プロンプトインジェクションに関する出典

※1 MITRE「Indirect Prompt Injection, Technique T1698 – Enterprise」（2026年9月18日、2026年10月12日更新）
※2 MITRE「Direct Prompt Injection, Technique T1699 – Enterprise」（2026年9月18日、2026年9月22日更新）
※3 MITRE「Updates – October 2026」（2026年10月13日）
※4 OWASP「OWASP GenAI LLM Top 10 2026」（2026年8月3日）
※5 OpenAI「Understanding prompt injections: a frontier security challenge」（2025年11月7日）
※6 OpenAI「Continuously hardening ChatGPT Atlas against prompt injection attacks」（2025年12月22日）
※7 Simon Willison「Prompt injection attacks against GPT-3」（2022年9月12日）
※8 Preamble「Declassifying the Responsible Disclosure of the Prompt Injection Attack Vulnerability of GPT-3」（2022年9月22日に機密解除と記載）
※9 Kai Greshake、Sahar Abdelnabi、Shailesh Mishra、Christoph Endres、Thorsten Holz、Mario Fritz「Not what you’ve signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection」（2023年2月23日、arXiv）
※10 Fábio Perez、Ian Ribeiro「Ignore Previous Prompt: Attack Techniques For Language Models」（2022年11月17日、arXiv）
※11 Dave Chismon「Prompt injection is not SQL injection (it may be worse)」（2025年12月8日、英国 NCSC）
※12 Anthropic「Mitigating the risk of prompt injections in browser use」（2025年11月24日）
※13 Google「間接プロンプト インジェクションに対する Gemini の多層防御戦略」（2026年3月17日更新）
※14 Microsoft「How Microsoft defends against indirect prompt injection attacks」（2025年7月29日）
※15 Beliz Kaleli、Shehroze Farooqi、Oleksii Starov、Nabeel Mohamed「Fooling AI Agents: Web-Based Indirect Prompt Injection Observed in the Wild」（2026年3月3日、Palo Alto Networks Unit 42）
※16 Thomas Brunner、Yu-Han Liu、Moni Pande「AI threats in the wild: The current state of prompt injections on the web」（2026年4月23日、Google Security Blog）
※17 Milad Nasr ほか「The Attacker Moves Second: Stronger Adaptive Attacks Bypass Defenses Against LLM Jailbreaks and Prompt Injections」（2025年10月10日、arXiv）
※18 OpenAI「Designing AI agents to resist prompt injection」（2026年3月11日）
※19 OpenAI「Introducing Lockdown Mode and Elevated Risk labels in ChatGPT」（2026年2月13日、2026年6月4日更新）
※20 Anthropic「Best practices for computer and browser use with Claude」（2026年5月13日）
※21 情報処理推進機構「情報セキュリティ10大脅威 2026 解説書［組織編］」（2026年3月、2026年4月11日 四版）
※22 情報処理推進機構「プロフェッショナルデジタルスキル試験（仮称）及び情報処理安全確保支援士試験 科目A-1（共通知識）シラバス（案）Ver.0.1」（2026年9月30日掲載）
※23 生成AI活用普及協会「生成AIパスポート試験シラバス（2027年2月試験より適用）」
※24 生成AI活用普及協会「生成AIパスポート、2027年試験のシラバスを大幅改訂。改訂版公式テキストの予約販売および資格更新テストの受講申込受付を開始」（2026年10月1日）
※25 Simon Willison「A quote from @himbodhisattva」（2025年8月4日）

プロンプトインジェクションに関連する記事

• Google、「Gemini 4 Argon」を一部のサイバー防御の担い手に先行提供。出力トークンの上限を100万に拡大（2026.10.01）
• 生成AIパスポート、2027年2月の試験からシラバス改訂。AIエージェントとガバナンスを拡充、資格更新テストの申込受付も開始（2026.10.02）
• プロフェッショナルデジタルスキル試験（仮称）とは・意味、出題形式・3つの試験の違い・シラバス案（2026.10.26）
• MCP（Model Context Protocol）とは・意味、A2Aとの違い・事例（2026.10.27）
• Memory Poisoning（メモリポイズニング）とは・意味、由来・手口・事例（2026.10.28）
• Google、新たな最先端モデル「Gemini 4 Carbon」を一部のサイバー防御の担い手に先行提供へ（2026.10.29）